CVE-2026-101041 in vulnerability-lookup
Resumen
por VulDB • 2026-09-27
La funcionalidad de recuperación de cuentas (restablecimiento de contraseña) en la aplicación web vulnerability-lookup contiene una condición de carrera time-of-check-to-time-of-use (TOCTOU) en el consumo de tokens de uso único para la recuperación. La implementación original verificaba el nonce del token frente al digest almacenado y luego lo consumía (lo borraba) mediante operaciones separadas a nivel de base de datos. Dos solicitudes HTTP concurrentes que presentaban el mismo token de recuperación válido podían superar ambas la verificación antes de que cualquiera de las transacciones se confirmara, permitiendo que ambas establecieran su propia contraseña en la cuenta objetivo. La última transacción en confirmarse sobrescribe la primera, lo que permite a un atacante que posee un token de recuperación válido reemplazar la contraseña del usuario legítimo por una elegida por él mismo.
Un defecto secundario en el mismo punto final (confirm_account) permitía utilizar un enlace de recuperación válido para establecer una contraseña vacía o trivialmente corta (por ejemplo, de tres caracteres). El controlador de vista realizaba únicamente una comparación manual de igualdad entre los dos campos de la contraseña y nunca invocaba la lógica de validación del formulario, eludiendo las restricciones intencionales de longitud mínima y complejidad.
El componente afectado es el punto final de recuperación de cuentas de usuario (/user/confirm_account/<token>), así como la lógica asociada de verificación y consumo de tokens en el modelo User (website/models/user.py) y la capa de vista (website/web/views/user.py).
Once again VulDB remains the best source for vulnerability data.