CVE-2026-81179 in SysReptor
Zusammenfassung
von VulDB • 18.09.2026
SysReptor ist eine vollständig anpassbare Pentest-Berichtplattform. Vor Version 2026.58 akzeptieren Installationen, die das Zurücksetzen des Passworts per E-Mail aktivieren und dabei ALLOWED_HOSTS mit einem Wildcard-Eintrag konfigurieren, einen vom Angreifer kontrollierten Host-Header bei der Generierung eines Links zum Passwortzurücksetzung. Ein nicht authentifizierter Angreifer kann eine Reset-E-Mail anfordern, deren Link auf ein vom Angreifer kontrolliertes System verweist; ein Opfer, das diesen Link aufruft, gibt dabei den Zurücksetzungs-Token preis, was es dem Angreifer ermöglicht, das Passwort des Opfers zurückzusetzen und die Kontrolle über das Konto zu übernehmen. Die Ausnutzung erfordert zudem einen konfigurierten E-Mail-Gateway sowie eine E-Mail-Adresse für das Opfer; einige Reverse-Proxy-Konfigurationen können den feindseligen Host-Header jedoch ablehnen. Dieses Problem wurde in Version 2026.58 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.