CVE-2026-53997

2026-10-06 tarixinədək olan Netherman Portal del Hermano (portaldelhermano.es) versiyalarında POST /password/create-access və POST /password/email son nöqtələrindəki şifrənin bərpası axınında autentifikasiyanın pozulması zəifliyi mövcuddur. Bu zəiflik, sürət məhdudiyyətinin (rate limiting) olmaması və dörd şəxsiyyət təsdiqləmə amilinin (DNI, doğum tarixi, telefon nömrəsi, IBAN-ın son dörd rəqəmi) hər biri üçün orakl kimi çıxış edən fərqli xəta mesajlarından istifadə etməklə, autentifikasiya olunmamış hücumçulara bütün tenant-larda istənilən üzv hesabını ələ keçirməyə imkan verir. Hücumçular orakl vasitəsilə DNI-ni təsdiqləyə, doğum tarixini və IBAN rəqəmlərini brute-force üsulu ilə tapa, telefon nömrəsini açıq mənbə kəşfiyyatı (OSINT) vasitəsilə əldə edə və daha sonra şifrənin sıfırlanma linkinin onlara göndərilməsi üçün öz nəzarətlərində olan e-poçt sahəsini daxil edə bilərlər. Bu, profil məlumatları, tam IBAN və fiskal sənədlər də daxil olmaqla hesabın tamamilə ələ keçirilməsinə şərait yaradır.