CVE-2026-101041

vulnerability-lookup veb tətbiqindəki hesabın bərpası (parolun sıfırlanması) funksionallığında birdəfəlik bərpa tokenlərinin istifadəsi zamanı yoxlama vaxtı ilə istifadə vaxtı arasındakı fərqdən qaynaqlanan (TOCTOU) yarış vəziyyəti (race condition) mövcuddur. Orijinal tətbiqetmə token noncesini saxlanılan heydestlə müqayisə edib təsdiqləmiş və daha sonra onu ayrı məlumat bazası əməliyyatları ilə istifadə etmişdir (silmişdir). Eyni etibarlı bərpa tokenini təqdim edən iki paralel HTTP sorğusu, hər hansı bir tranzaksiya tamamlanmamışdan əvvəl yoxlama mərhələsini keçə bilər ki, bu da hər ikisinin hədəf hesabda öz parolunu təyin etməsinə şərait yaradır. Sonuncu tamamlanan tranzaksiya birincini əvəz edir və beləliklə, etibarlı bərpa tokeninə sahib olan hücumçu qanuni istifadəçinin parolunu öz seçdiyi parolla əvəzləyə bilir. Eyni son nöqtədəki (confirm_account) ikinci bir qüsur, etibarlı bərpa linkindən boş və ya həddindən artıq qısa (məsələn, üç simvol) parol təyin etmək üçün istifadə edilməsinə imkan verirdi. View handler yalnız iki parol sahəsi arasında əllə bərabərlik müqayisəsi aparmış və formanın validasiya məntiqini heç vaxt çağırmamışdır ki, bu da nəzərdə tutulmuş minimum uzunluq və mürəkkəblik məhdudiyyətlərindən yan keçməyə səbəb olmuşdur. Təsirə məruz qalan komponent istifadəçi hesabının bərpası son nöqtəsi (/user/confirm_account/<token>), həmçinin User modelindəki (website/models/user.py) və view təbəqəsindəki (website/web/views/user.py) əlaqəli token yoxlama və istifadə məntiqidir.