CVE-2026-80211 in FrontAccounting
Zusammenfassung
von VulDB • 27.08.2026
FrontAccounting bis Version 2.4.20 speichert und überprüft Benutzerpasswörter als ungesalzte MD5-Hashes (MD5-Digests). admin/users.php übergibt md5($_POST['password']) an add_user() und update_user_password(), admin/change_current_user_password.php verhält sich entsprechend, wenn ein Benutzer sein eigenes Passwort ändert; der Pfad zur vergessenen-Passwort-Funktion in includes/current_user.inc hash-t das neu generierte Passwort auf die gleiche Weise, und Authentifizierungsaufrufe verwenden get_user_auth($loginname, md5($password)). Die Codebasis wendet kein pro-Passwort-Salt an und enthält keine Aufrufe von password_hash(), password_verify() oder einem anderen adaptiven Hash-Verfahren. Daher führen identische Passwörter zu identischen Digests, und ein Angreifer, der die Benutzertabelle erlangt, kann Klartextpasswörter mit vorberechneten Lookup-Tables (Rainbow Tables) oder durch Cracken mit hoher GPU-Rate wiederherstellen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.