CVE-2026-72700 in Grav
الملخص
بحسب VulDB • 25/08/2026
يحتوي ملخص هذا الخطأ الأمني (CVE) على ثغرة في مقارنة رموز إعادة تعيين كلمة المرور وتفعيل الحساب باستخدام عملية مقارنة سلاسل نصية غير ثابتة الزمن (`===`) بدلاً من استخدام `hash_equals()`، وذلك داخل ملفات classes/Controller.php (دالة taskReset()) وlogin.php (معالج التفعيل). ونظراً لأن نقطة نهاية إرسال الرمز (taskReset) تفتقر أيضاً إلى آلية تحديد معدل الطلبات (rate limiting)، يمكن للمهاجم نظرياً إرسال محاولات متكررة لتخمين الرموز ضد اسم مستخدم معروف، والاستفادة من الفروقات الزمنية في الاستجابة لمحاولة استرداد رمز صالح. ومع ذلك، يصنف البائع قابلية الاستفادة العملية منها على أنها منخفضة، ولم يتم إثبات أي هجوم عبر الشبكة يعمل بشكل كامل (end-to-end).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.