Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 18 OCT · 10:39

CVE-2026-112002 Cambio de contraseña sin verificación en ProjectSend

ProjectSend 2.5.0 antes de 2.7.0 contiene una vulnerabilidad de cambio de contraseña sin verificación en PasswordController::update() que permite a sesiones de cuentas aprovisionadas vía Social establecer contraseñas locales sin la contraseña actual. Un atacante con una cookie de sesión robada puede enviar PUT /settings/password para crear una contraseña local duradera, registrar su propio segundo factor y tomar el control persistente de la cuenta.

6.8MEDIA

CVSS 3.1

  • CVSS 4.07.6 · alta
  • Probabilidad de explotación0,3 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • ProjectSend

    desde 2.5.0 hasta antes de 2.7.0

Qué hacer

  1. Verificá si usás ProjectSend y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.8 MEDIA

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueAlta
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadAlta
  • DisponibilidadNinguna

CVSS 4.0 · 7.6 ALTA

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataquePresentes
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Alta
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

ProjectSend 2.5.0 before 2.7.0 contains an unverified password change vulnerability in PasswordController::update() that lets sessions of Social-provisioned accounts set local passwords without the current password. Attackers holding a stolen session cookie can send PUT /settings/password to create a durable local password, enroll their own second factor, and persistently take over the account.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.