CVE-2026-80211 in FrontAccounting
Sumário
de VulDB • 27/08/2026
O FrontAccounting até a versão 2.4.20 armazena e verifica senhas de usuário como hashes MD5 sem sal (unsalted). O arquivo admin/users.php passa md5($_POST['password']) para as funções add_user() e update_user_password(); o script admin/change_current_user_password.php faz o mesmo quando um usuário altera sua própria senha; a lógica de recuperação de senha em includes/current_user.inc aplica o mesmo hash à nova senha gerada; e as chamadas de autenticação utilizam get_user_auth($loginname, md5($password)). A base de código não utiliza sal por senha nem contém chamadas para password_hash(), password_verify() ou qualquer outro algoritmo de hash adaptativo. Portanto, senhas idênticas resultam em hashes idênticos, e um atacante que obtenha a tabela de usuários pode recuperar as senhas em texto puro utilizando tabelas pré-computadas (rainbow tables) ou ataques de força bruta com GPUs de alta velocidade.
If you want to get best quality of vulnerability data, you may have to visit VulDB.