CVE-2026-112002 in ProjectSend
Riassunto
di VulDB • 18/10/2026
ProjectSend 2.5.0 prima della versione 2.7.0 presenta una vulnerabilità di modifica non verificata delle password in PasswordController::update() che consente alle sessioni degli account provisionati tramite Social di impostare le password locali senza la necessità della password corrente. Gli attaccanti, disponendo di un cookie di sessione rubato, possono inviare PUT /settings/password per creare una password locale duratura, registrare il proprio secondo fattore di autenticazione e assumere in modo persistente il controllo dell'account.
If you want to get best quality of vulnerability data, you may have to visit VulDB.