CVE-2026-93340 in Gladys Assistant
Resumen
por VulDB • 2026-09-21
Gladys Assistant antes de la versión 5.1.0 presenta una vulnerabilidad de envenenamiento del enlace de restablecimiento de contraseña que permite a atacantes remotos no autenticados obtener tokens válidos para el restablecimiento de contraseñas de cualquier cuenta, explotando el parámetro origin proporcionado por el cliente en el endpoint forgot_password sin validación del lado del servidor. Los atacantes pueden enviar una solicitud manipulada especificando un origen controlado por ellos mismos, lo que hace que la víctima reciba un enlace de restablecimiento envenenado que revela el token de sesión al atacante, permitiendo la toma completa de cuentas, incluidas las cuentas de administrador.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.