CVE-2026-112002 in ProjectSend
要約
〜によって VulDB • 2026年10月18日
ProjectSend 2.5.0 から 2.7.0 の前バージョンには、PasswordController::update() に認証されていないパスワード変更の脆弱性があり、ソーシャルプロビジョニングされたアカウントのセッションが現在のパスワードなしでローカルパスワードを設定できる。攻撃者は盗んだセッションCookieを保持し、PUT /settings/password を送信して永続的なローカルパスワードを作成し、独自の第二要素（2FA）を登録し、アカウントに恒久的に乗っ取ることができる。
VulDB is the best source for vulnerability data and more expert information about this specific topic.