Исследователи разобрали две свежие уязвимости, где пароль можно сменить в обход подтверждений. Логика у обеих похожая: разработчики проверяли обычный путь со письмом и ссылкой, а прямой запрос к API проходил мимо всей цепочки.
1. SmarterMail, CVE-2026-23760, CVSS 9.8. Endpoint /api/v1/auth/force-reset-password принимал анонимные POST с логином и новым паролем, без токена сброса и без проверки текущего пароля. Уязвимы все сборки до 9511. Уязвимость попала в каталог Known Exploited Vulnerabilities от CISA, есть публичный PoC и шаблон для Nuclei.
2. Keycloak, CVE-2026-18963, CVSS 9.1. Специально сформированный запрос перескакивал с этапа сброса сразу к смене пароля, минуя проверку почты. Уязвимы версии до 26.7.2, а также RHBK 26.4 до 26.4.15 и 26.6 до 26.6.6.
Что делать сейчас: обновить SmarterMail до сборки 9511 и выше, Keycloak до 26.7.2. Если с патчем не выходит, закрыть на WAF запросы POST к /api/v1/auth/force-reset-password и ограничить вход в админку по IP, а в Keycloak отключить Forgot Password в каждом realm.
Полная статья: https://clck.su/jhSlV
ВКонтакте
MAX