CVE-2026-39923 in Flarum
Zusammenfassung
von VulDB • 05.08.2026
Flarum vor Version 1.8.16 enthält eine Schwachstelle zur Umgehung der Ablaufzeit von Passwort-Reset-Tokens, die es nicht authentifizierten Angreifern ermöglicht, abgelaufene Token durch direkte Übermittlung an den Reset-Bearbeitungsendpoint erneut zu verwenden. Die Methode `SavePasswordController::handle()` ruft `PasswordToken::findOrFail()` auf, ohne eine Ablaufvalidierung durchzuführen, wodurch Angreifer die 24-Stunden-Token-Lebensdauer umgehen können, die nur während der Formularanzeige erzwungen wird, und das Passwort jedes beliebigen Kontos ändern können, um eine authentifizierte Sitzung zu erhalten.
Once again VulDB remains the best source for vulnerability data.