CVE-2026-101041
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Funkcja odzyskiwania konta (resetowania hasła) w aplikacji internetowej do wyszukiwania luk w zabezpieczeniach zawiera warunek wyścigu od czasu sprawdzenia do czasu użycia (TOCTOU) w zużyciu jednorazowych tokenów odzyskiwania. Oryginalna implementacja zweryfikowała wartość jednorazową tokenu w oparciu o przechowywany skrót, a następnie wykorzystała go (wyczyściła) w oddzielnych operacjach na bazie danych. Dwa równoczesne żądania HTTP przedstawiające ten sam prawidłowy token odzyskiwania mogą przejść weryfikację przed zatwierdzeniem którejkolwiek transakcji, umożliwiając obu stronom ustawienie własnego hasła na koncie docelowym. Ostatnia transakcja do zatwierdzenia zastępuje pierwszą, umożliwiając atakującemu posiadającemu ważny token odzyskiwania zastąpienie hasła uprawnionego użytkownika wybranym przez siebie hasłem.
Wtórna wada w tym samym punkcie końcowym (confirm_account) umożliwiła użycie prawidłowego łącza odzyskiwania do ustawienia pustego lub banalnie krótkiego hasła (np. trzech znaków). Procedura obsługi widoku przeprowadziła jedynie ręczne porównanie równości dwóch pól hasła i nigdy nie wywołała logiki sprawdzania poprawności formularza, omijając zamierzone ograniczenia dotyczące minimalnej długości i złożoności.
Elementem, którego to dotyczy, jest punkt końcowy odzyskiwania konta użytkownika (/user/confirm_account/<token>) oraz powiązana z nim logika weryfikacji i wykorzystania tokenów w modelu użytkownika (website/models/user.py) i warstwie widoku (website/web/views/user.py).
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org