CVE-2026-40585
Açıklama
blueprintUE, Unreal Engine geliştiricilerine yardımcı olan bir araçtır. 4.2.0 sürümünden önce, şifre sıfırlama işlemi başlatıldığında, 128 karakterli bir CSPRNG belirteci oluşturulur ve bir password_reset_at zaman damgası ile birlikte saklanır. Ancak, belirteç kullanım fonksiyonu olan findUserIDFromEmailAndToken(), yalnızca eşleşen e-posta + password_reset belirteç çiftini sorgular; password_reset_at zaman damgasının herhangi bir maksimum süreyi aşp aşmadığını kontrol etmez. Oluşturulan bir sıfırlama belirteci, açıkça tüketilene veya sonraki bir sıfırlama isteği tarafından üzerine yazılana kadar süresiz olarak geçerlidir. Bu güvenlik açığı 4.2.0 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| blueprintue blueprintue-self-hosted-edition | < 4.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.