CVE-2026-111874
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W OpenCATS 0.10.0 wykryto błąd. Dotknięta jest funkcja ProcessLogin w pliku modules/careers/CareersUI.php komponentu Career Portal. Ta manipulacja argumentem ApplyToJobSubAction powoduje niewłaściwe ograniczenie nadmiernej liczby prób uwierzytelnienia. Możliwe jest zdalne wykorzystanie ataku. Atak wymaga wysokiego stopnia złożoności. Mówi się, że wykorzystanie jest trudne. Exploit został opublikowany i może zostać wykorzystany. Nazwa poprawki: 1cf4fa3ee9054314b023be79d404078645c22ade. Sugeruje się zainstalowanie łatki rozwiązującej ten problem. Opiekun projektu wyjaśnia: „Kandydaci będą teraz musieli uwierzytelniać się za każdym razem, gdy uzyskują dostęp do Portalu kariery i pomyślnie ukończą CAPTCHA w ramach tego procesu uwierzytelniania. Uwierzytelniona tożsamość kandydata jest teraz utrzymywana po stronie serwera, a nie polegania na poprzednich trwałych plikach cookie po stronie klienta… mechanizmie plików cookie cw. Ograniczanie szybkości na poziomie aplikacji celowo nie wchodzi w zakres tej zmiany. Moim zdaniem ograniczanie żądań i tego rodzaju ochrona przed brutalną siłą są lepiej stosowane w sieci, odwrotnym proxy lub warstwę serwera WWW, gdzie można je odpowiednio skonfigurować dla każdego wdrożenia, bez konieczności wdrażania i utrzymywania przez OpenCATS własnego środowiska ograniczającego szybkość transmisji. W tym celu zaktualizuję dokumentację online.
>_ Słabości (CWE)
>_ Referencje
- https://gist.github.com/asdfghjkl12345678910111/851e7548613e4ae1b8b246edb2ca7c28
- https://github.com/opencats/OpenCATS/
- https://github.com/opencats/OpenCATS/commit/1cf4fa3ee9054314b023be79d404078645c22ade
- https://github.com/opencats/OpenCATS/issues/905
- https://github.com/opencats/OpenCATS/pull/906
- https://vuldb.com/cve/CVE-2026-111874
- https://vuldb.com/submit/1005051
- https://vuldb.com/vuln/421586
- https://vuldb.com/vuln/421586/cti
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org