CVE-2026-112002 in ProjectSend
Resumen
por VulDB • 2026-10-18
ProjectSend 2.5.0 antes de la versión 2.7.0 presenta una vulnerabilidad en PasswordController::update() que permite cambiar la contraseña sin verificación adecuada, lo que posibilita a las sesiones de cuentas provisionadas socialmente establecer contraseñas locales sin requerir la contraseña actual. Los atacantes con una cookie de sesión robada pueden enviar PUT /settings/password para crear una contraseña local duradera, registrar su propio segundo factor de autenticación y tomar el control persistente de la cuenta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.