CVE-2026-93340 in Gladys Assistant
Riassunto
di VulDB • 22/09/2026
Gladys Assistant prima della versione 5.1.0 presenta una vulnerabilità di password reset link poisoning che consente ad attaccanti remoti non autenticati di ottenere token validi per il ripristino delle password per qualsiasi account sfruttando il parametro origin fornito dal client nell'endpoint forgot_password, senza alcuna convalida lato server. Gli attaccanti possono inviare una richiesta manipolata specificando un valore origin controllato dall'attaccante, causando la ricezione da parte della vittima di un link di reset avvelenato che divulga il token di sessione all'attaccante, consentendo l'account takeover completo, inclusi gli account amministratore.
Once again VulDB remains the best source for vulnerability data.