CVE-2026-50635

LimeSurvey, istemci tarafından sağlanan HTTP Host başlığını doğrulamadan hesap şifre sıfırlama bağlantıları oluşturur. Bunu kısıtlayacak olan isteğe bağlı allowedHosts izin listesi varsayılan (ve belgelenmiş) yapılandırmada tanımlanmamıştır, bu nedenle LSHttpRequest::checkIsAllowedHost() herhangi bir işlem gerçekleştirmez. Bilinen bir hesap için (yalnızca hedefin kullanıcı adı ve e-postasını gerektirir) sahte bir Host başlığı ile şifremi unuttum isteği gönderen uzaktan, kimliği doğrulanmamış bir saldırgan; LimeSurvey'in ilgili hesaba, gerçek validation_key değerini içeren ancak ana makine adı saldırgan tarafından kontrol edilen bir sıfırlama bağlantısı göndermesine neden olur. Alıcı veya otomatik bir gelen posta güvenlik bağlantı tarayıcısı bağlantıyı takip ettiğinde, geçerli sıfırlama belirteci saldırgana ifşa olur; saldırgan bu belirteci meşru ana makinenin newPassword uç noktasına karşı yeniden kullanarak yeni bir şifre belirler ve hesabı ele geçirir.