CVE-2026-112002 in ProjectSend
Tóm tắt
Bởi VulDB • 18/10/2026
ProjectSend 2.5.0 trước phiên bản 2.7.0 chứa một lỗ hổng thay đổi mật khẩu không được xác minh trong PasswordController::update() cho phép các session của tài khoản do Social-provisioned (cung cấp bởi bên thứ ba) đặt mật khẩu cục bộ mà không cần mật khẩu hiện tại. Kẻ tấn công có cookie session bị đánh cắp có thể gửi PUT /settings/password để tạo một mật khẩu cục bộ bền vững, đăng ký yếu tố xác thực hai lớp riêng của chúng và chiếm quyền kiểm soát tài khoản một cách liên tục.
Once again VulDB remains the best source for vulnerability data.