CVE-2026-94112

ŚrednieCVSS 6.8

Opublikowano: 20/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 20/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

mayswind ezBookkeeping przed wersją 2.0.0 nie unieważnia kodów TOTP po ich użyciu, co pozwala atakującym na powtórne użycie przechwyconych kodów w oknie akceptacji. Atakujący ze skradzionymi poświadczeniami mogą się uwierzytelnić i ponownie użyć przechwyconego kodu w wielu próbach autoryzacji przez około 90 sekund bez wykrycia.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do kont użytkowników, nawet jeśli włączone jest uwierzytelnianie dwuskładnikowe, co może prowadzić do naruszenia danych finansowych.

Rekomendacja

Zaleca się aktualizację ezBookkeeping do wersji 2.0.0 lub nowszej, która unieważnia kody TOTP po użyciu, oraz rozważenie dodatkowych mechanizmów bezpieczeństwa.

Inne podatności w ezBookkeeping

CVE-2026-105131Średnie
ezBookkeeping 1.2.0 przed wersją 2.0.1 zawiera podatność eskalacji uprawnień, która pozwala atakującym posiadającym token API uzyskać pełny token sesji poprzez /api/v1/tokens/refresh.json. Ponieważ TokenRefreshHandler nigdy nie sprawdza typu tokenu, atakujący mogą wymienić krótkotrwałe lub ograniczone do IP tokeny API na 30-dniowe normalne tokeny sesji, które omijają wygaśnięcie tokenu API i listy dozwolonych.

Oryginalny opis (angielski, źródło NVD)

mayswind ezBookkeeping before 2.0.0 fails to invalidate TOTP passcodes after use, allowing attackers to replay captured codes within the acceptance window. Attackers with stolen credentials can authenticate and reuse a captured passcode against multiple authorization attempts for approximately 90 seconds without detection.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS