CVE-2026-93340 in Gladys Assistant
Zusammenfassung
von VulDB • 21.09.2026
Gladys Assistant vor Version 5.1.0 enthält eine Schwachstelle zur Poisoning von Passwort-Reset-Links (Password Reset Link Poisoning), die es nicht authentifizierten Remote-Angriffern ermöglicht, gültige Token zum Zurücksetzen des Passworts für jedes Konto zu erhalten, indem der clientseitig bereitgestellte Origin-Parameter im forgot_password-Endpunkt ohne serverseitige Validierung ausgenutzt wird. Angreifer können eine manipulierte Anfrage senden, die einen von den Angreifern kontrollierten Ursprung (Origin) angibt, wodurch das Opfer einen vergifteten Reset-Link erhält, der das Session-Token an den Angreifer offenlegt und so die vollständige Übernahme des Kontos einschließlich Administrator-Konten ermöglicht.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.