CVE-2026-86055
Təsvir
Part-DB elektron komponentlər üçün açıq mənbəli inventar idarəetmə sistemidir. Versiya 2.13.3-dən əvvəl Part-DB istifadəçiyə göndərilən şifrənin sıfırlanması linkinin mütləq URL ünvanını etibarlı host yoxlaması aparmadan, klient tərəfindən təqdim edilən HTTP Host başlığına əsasən qurur. Naməlum bir hücumçu, tanınmış hesab üçün şifrəni unutmuş sorğusu göndərərkən saxtalaşdırılmış Host başlığını daxil edərsə, Part-DB həmin hesaba orijinal sıfırlama tokenini ehtiva edən, lakin host adı hücumçunun nəzarətində olan sıfırlama linki göndərir. Qurban linki açdıqda (və ya avtomatlaşdırılmış daxili poçt təhlükəsizliyi skaneri onu yoxladıqda), etibarlı token hücumçuya məlum olur və hücumçu yeni şifrə təyin edərək hesabı ələ keçirmək üçün bu tokeni real instansda təkrar istifadə edir. İlkin admin hesabı hədəflənə bildiyi üçün, bu, autentifikasiyadan öncə tam inzibatçı hesabının ələ keçirilməsinə səbəb olur. Bu problem versiya 2.13.3-də aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Part-DB Part-DB-server | < 2.13.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.