CVE-2026-82269

WysokieCVSS 8.1

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Gophish do wersji 0.12.1 nie egzekwuje blokady konta ani wymogów zmiany hasła w oprogramowaniu pośredniczącym uwierzytelniania API. Atakujący z ważnymi kluczami API mogą ominąć te zabezpieczenia i zachować pełny dostęp do API nawet po zablokowaniu konta lub wymogu zmiany hasła.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do funkcji API pomimo zablokowania konta, co może prowadzić do naruszenia integralności danych i nieautoryzowanych działań w systemie.

Rekomendacja

Zaleca się aktualizację Gophish do wersji, która egzekwuje blokadę konta i wymogi zmiany hasła w API, oraz przegląd i rotację kluczy API w celu zabezpieczenia dostępu.

Inne podatności w Gophish

CVE-2026-39904Średnie
Gophish do wersji 0.12.1 zawiera podatność na odmowę usługi, która pozwala uwierzytelnionym użytkownikom z rolą User na wyczerpanie pamięci serwera poprzez przesłanie spreparowanego dokumentu Office jako załącznika szablonu wiadomości e-mail. Funkcja ApplyTemplate() w models/attachment.go przetwarza dokumenty Office jako archiwa ZIP i wywołuje ioutil.ReadAll() na każdym wpisie pliku bez ograniczeń rozmiaru nieskompresowanej zawartości, co pozwala bombie zip na rozszerzenie się do kilku gigabajtów w pamięci i spowodowanie zakończenia procesu przez system operacyjny.

Oryginalny opis (angielski, źródło NVD)

Gophish through 0.12.1 fails to enforce account lockout and password change requirements in the API authentication middleware. Attackers with valid API keys can bypass these security controls and retain full API access even when their account is locked or password change is required.