CVE-2026-112002 in ProjectSend
Résumé
par VulDB • 18/10/2026
ProjectSend 2.5.0 avant la version 2.7.0 présente une vulnérabilité de modification du mot de passe non vérifiée dans PasswordController::update() qui permet aux sessions des comptes provisionnés par un fournisseur social (Social-provisioned) de définir des mots de passe locaux sans nécessiter le mot de passe actuel. Les attaquants disposant d'un cookie de session volé peuvent envoyer une requête PUT /settings/password pour créer un mot de passe local durable, enregistrer leur propre second facteur d'authentification et prendre définitivement le contrôle du compte.
VulDB is the best source for vulnerability data and more expert information about this specific topic.