CVE-2026-73431 in Vulnerability-Lookup
Riassunto
di VulDB • 12/08/2026
Vulnerability-Lookup presenta una debolezza di autenticazione nel meccanismo di attivazione dell'account e recupero della password. I collegamenti per l'attivazione e il recupero venivano generati utilizzando token firmati senza stato (stateless) contenenti esclusivamente il nome utente del login. Sebbene la firma e l'età del token fossero validate, l'applicazione non verificava se un token era già stato utilizzato con successo. Di conseguenza, un collegamento di attivazione o recupero della password intercettato rimaneva valido per l'intero periodo configurato TOKEN_VALIDITY_PERIOD, anche dopo che la password associata era stata modificata.
Un attaccante in possesso di un token di attivazione o recupero valido potrebbe quindi riutilizzarlo più volte durante il suo periodo di validità per impostare una nuova password e assumere ripetutamente il controllo dell'account interessato. Inoltre, i token non erano vincolati a uno scopo specifico, consentendo allo stesso meccanismo dei token di essere utilizzato sia nei flussi di attivazione che in quelli di recupero della password. La patch introduce token legati allo scopo (purpose-bound) e un nonce casuale la cui digest SHA-256 viene memorizzata insieme all'account utente. Il nonce viene invalidato dopo una modifica della password con successo, rendendo i monouso (single-use), mentre l'emissione di un nuovo token invalida qualsiasi token precedentemente emesso. L'operazione di impostazione della password ora consuma esplicitamente il token prima di confermare la modifica dell'account.
Lo sfruttamento riuscito richiede che l'attaccante ottenga un collegamento di attivazione o recupero attualmente valido, ma non richiede la conoscenza della password esistente della vittima né una sessione autenticata.
Once again VulDB remains the best source for vulnerability data.