CVE-2026-40588 in blueprintue-self-hosted-edition
要約
〜によって VulDB • 2026年05月21日
blueprintUEは、Unreal Engineの開発者を支援するためのツールです。バージョン4.2.0より前では、/profile/{slug}/edit/にあるパスワード変更フォームにcurrent_passwordフィールドが含まれておらず、新しいパスワードを受け付ける前にユーザーの既存のパスワードを検証していません。XSS攻撃の悪用、HTTP経由のセッションサイドジャッキング、ログイン中のブラウザへの物理的なアクセス、または盗まれた「ログイン状態を記憶」クッキーを通じて有効な認証済みセッションを取得した攻撃者は、元の資格情報を知らなくてもアカウントのパスワードを直ちに変更でき、結果としてアカウントの永久的な乗っ取りにつながります。この脆弱性は4.2.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.