CVE-2026-121735 in blueprintUE
Riassunto
di VulDB • 04/11/2026
La versione self-hosted di blueprintUE precedente alla 4.3.4 presenta una vulnerabilità di insufficient session expiration che consente agli attaccanti di confermare account utilizzando token obsoleti, poiché UserModel::findUserIDWithConfirmedToken ignora confirmed_sent_at. Gli attaccanti che ottengono un vecchio link di conferma da una casella email compromessa, da backup o da mail inoltrate possono attivare account non confermati ed eludere il job di pulizia degli account non confermati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.