CVE-2026-101041

vulnerability-lookup web uygulamasındaki hesap kurtarma (şifre sıfırlama) işlevi, tek kullanımlık kurtarma jetonlarının tüketiminde bir zaman-kontrolü ile zaman-kullanımı (TOCTOU) yarış durumu içermektedir. Orijinal uygulama, jeton nonce değerini saklanan özetle doğrulamış ve ardından bunu ayrı veritabanı işlemleriyle tüketmiş (temizlemiş)tir. Aynı geçerli kurtarma jetonunu sunan iki eşzamanlı HTTP isteği, işlemlerden herhangi biri onaylanmadan önce doğrulama kontrolünü geçebilir ve böylece her ikisinin de hedef hesapta kendi şifresini belirlemesine izin verebilir. Onaylanan son işlem ilkini geçersiz kılar; bu durum, geçerli bir kurtarma jetonuna sahip olan bir saldırganın, meşru kullanıcının şifresini kendi seçtiği bir şifreyle değiştirmesine olanak tanır. Aynı uç noktadaki (confirm_account) ikincil bir kusur, geçerli bir kurtarma bağlantısının boş veya aşırı kısa bir şifre (örneğin üç karakter) belirlemek için kullanılmasına izin vermiştir. Görünüm yöneticisi, iki şifre alanı arasında yalnızca manuel bir eşitlik karşılaştırması yapmış ve formun doğrulama mantığını hiçbir zaman çağırmamıştır; bu da hedeflenen minimum uzunluk ve karmaşıklık kısıtlamalarının atlatılmasına neden olmuştur. Etkilenen bileşenler, kullanıcı hesap kurtarma uç noktası (/user/confirm_account/<token>) ile User modelindeki (website/models/user.py) ve görünüm katmanındaki (website/web/views/user.py) ilgili jeton doğrulama ve tüketim mantığıdır.