8.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Crawlab fails to verify user ownership or administrative role on the password-change endpoint, allowing any authenticated user to reset any account's password. Attackers can enumerate user accounts through the user listing endpoint and change administrator credentials to achieve full account takeover and arbitrary code execution.
Засегнати продукти
- crawlab-team crawlab: до 0.6.3
Вид слабост
История
- 17 август 2026 Публикувано
Други уязвимости в crawlab-team crawlab
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-75103
- https://nvd.nist.gov/vuln/detail/CVE-2026-75103
- https://github.com/crawlab-team/crawlab/issues/1623
- https://github.com/crawlab-team/crawlab
- https://github.com/crawlab-team/crawlab/blob/main/core/controllers/user_v2.go
- https://www.vulncheck.com/advisories/crawlab-missing-authorization-on-password-change-endpoint-allows-account-takeover