CVE-2026-80211 in FrontAccounting
Сводка
по VulDB • 27.08.2026
FrontAccounting fino alla versione 2.4.20 memorizza e verifica le password degli utenti come digest MD5 non salati (unsalted). Il file admin/users.php passa md5($_POST['password']) alle funzioni add_user() e update_user_password(); il percorso per la modifica della propria password in admin/change_current_user_password.php opera allo stesso modo; il flusso di recupero della password dimenticata in includes/current_user.inc elabora con lo stesso criterio la nuova password generata, mentre le chiamate di autenticazione utilizzano get_user_auth($loginname, md5($password)). La base del codice non applica un sale per-password e non contiene alcuna chiamata a password_hash(), password_verify() o ad altri algoritmi hash adattivi; pertanto, password identiche producono digest identici e un attaccante che ottiene la tabella degli utenti può recuperare le password in chiaro mediante tabelle di lookup precalcolate (rainbow tables) oppure tramite attacchi di cracking ad alta velocità con GPU.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.