9.2
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.
Описание
Оригинално описание
HotGo 2.8.4 through 2.15.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to choose the SMS login verification code by supplying the Code field to /admin/sms/send. Attackers who know a user's mobile number can set a known code and sign in through /admin/site/mobileLogin to take over accounts, including administrators.
Засегнати продукти
- bufanyun HotGo: 2.8.4 до 2.15.1
Вид слабост
История
- 2 ноември 2026 Публикувано
Други уязвимости в bufanyun HotGo
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-120447
- https://nvd.nist.gov/vuln/detail/CVE-2026-120447
- https://github.com/bufanyun/hotgo/issues/240
- https://github.com/bufanyun/hotgo/commit/cb57056c746650e6ff86dec1e97d404b63dcfd30
- https://vul.yulun.ac.cn/20261102/hotgo/
- https://github.com/bufanyun/hotgo/blob/269b2f9e435cf8ff6b18d53bc053a905f4e02d11/server/internal/logic/sys/sms_log.go
- https://github.com/bufanyun/hotgo/blob/269b2f9e435cf8ff6b18d53bc053a905f4e02d11/server/internal/model/input/sysin/sms_log.go
- https://www.vulncheck.com/advisories/hotgo-through-2.15.1-authentication-bypass-via-client-set-sms-verification-code