CVE-2026-25858 in mall
Resumen
por MITRE • 2026-02-08
macrozheng mall versión 1.0.3 y anteriores contiene una vulnerabilidad de autenticación en el flujo de trabajo de restablecimiento de contraseña de mall-portal que permite a un atacante no autenticado restablecer contraseñas de cuentas de usuario arbitrarias utilizando solo el número de teléfono de una víctima. El flujo de restablecimiento de contraseña expone la contraseña de un solo uso (OTP) directamente en la respuesta de la API y valida las solicitudes de restablecimiento de contraseña únicamente comparando la OTP proporcionada con un valor almacenado por número de teléfono, sin verificar la identidad del usuario o la propiedad del número de teléfono. Esto permite la toma de control remota de la cuenta de cualquier usuario con un número de teléfono conocido o predecible.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.