CVE-2026-24468
Açıklama
OpenAEV, kuruluşların siber saldırgan simülasyon kampanyaları ve testleri planlamasına, zamanlamasına ve yürütmesine olanak tanıyan açık kaynaklı bir platformdur. Versiyon 1.11.0'dan başlayarak versiyon 2.0.13 öncesine kadar, /api/reset uç noktası, sağlanan kullanıcı adının sistemde mevcut olup olmamasına bağlı olarak farklı şekilde davranmaktadır. login parametresinde mevcut olmayan bir e-posta sağlandığında, uç nokta HTTP 400 (Bad Request) yanıtı döndürür. Geçerli bir e-posta sağlandığında ise uç nokta HTTP 200 ile yanıt verir. Sunucu yanıtlarındaki bu fark, bir saldırganın hangi e-postaların uygulamaya kayıtlı olduğunu güvenilir bir şekilde belirlemesine olanak tanıyan gözlemlenebilir bir tutarsızlık yaratır. Olası e-posta adreslerinin bulunduğu bir liste ile istekleri otomatikleştirerek, bir saldırgan herhangi bir kimlik doğrulama olmadan hızlıca geçerli hesapların bir listesini oluşturabilir. Hesap numaralandırmasını (account enumeration) önlemek için uç noktanın, kullanıcı adının mevcut olup olmadığına bakılmaksızın tutarlı bir yanıt döndürmesi gerekir. Versiyon 2.0.13 bu sorunu düzeltmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| OpenAEV-Platform openaev | >= 1.11.0, < 2.0.13 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.