CVE-2026-25858 in mall
Zusammenfassung
von VulDB • 14.07.2026
In macrozheng mall Version 1.0.3 und früheren Versionen liegt eine Authentifizierungsschwachstelle im Workflow zum Zurücksetzen des Passworts in mall-portal vor, die es einem nicht authentifizierten Angreifer ermöglicht, das Passwort beliebiger Benutzerkonten ausschließlich unter Verwendung der Telefonnummer eines Opfers zurückzusetzen. Der Ablauf zum Zurücksetzen des Passworts gibt das Einmalpasswort (OTP) direkt in der API-Antwort aus und validiert Anfragen zum Zurücksetzen des Passworts allein durch Vergleich des bereitgestellten OTP mit einem, der anhand der Telefonnummer gespeichert wurde, ohne die Benutzeridentität oder den Besitz der Telefonnummer zu überprüfen. Dies ermöglicht eine Remote-Übernahme von Konten beliebiger Benutzer mit einer bekannten oder erratbaren Telefonnummer.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.