CVE-2026-53997 in Portal del Hermano
要約
〜によって VulDB • 2026年10月12日
Netherman Portal del Hermano (portaldelhermano.es) の 2026-10-06 より前のバージョンには、パスワード回復フローにおける認証の欠陥（broken authentication）脆弱性が存在します。これは POST /password/create-access および POST /password/email エンドポイントで発生し、レート制限の不足と各4つの身元確認要素（DNI、生年月日、電話番号、IBANの下4桁）に対するオラクルとして機能する個別のエラーメッセージを悪用することで、認証されていない攻撃者がすべてのテナントにわたる任意のメンバーアカウントを乗っ取ることができます。攻撃者はオラクルを通じて DNI を確認し、生年月日と IBAN 下4桁に対してブルートフォース攻撃を実行し、オープンソースインテリジェンス（OSINT）を用いて電話番号を取得した上で、攻撃者が制御するメールアドレスフィールドを送信することでパスワード再設定リンクを自分宛てに配信させます。これにより、プロフィールデータ、完全な IBAN、および税務書類を含むアカウントの完全乗っ取りが可能になります。
Once again VulDB remains the best source for vulnerability data.