CVE-2026-71213
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Punkt logowania Typemill (POST /tm/login, ControllerWebAuth::login) nie wykonuje ograniczania szybkości, zliczania nieudanych prób ani blokady konta, gdy captcha jest wyłączona (domyślna konfiguracja). Nieuwierzytelniony atakujący może wysyłać nieograniczone żądania zgadywania haseł do dowolnego konta, w tym administratorów, bez ograniczeń.
Ocena ryzyka
Atakujący może przeprowadzić atak brute-force na hasła, co może prowadzić do przejęcia kont administratora i pełnej kompromitacji systemu.
Rekomendacja
Należy włączyć captcha lub wdrożyć ograniczanie szybkości i blokadę konta. Zaleca się również wymuszenie silnych haseł.
Oryginalny opis (angielski, źródło NVD)
Typemill's login endpoint (POST /tm/login, ControllerWebAuth::login) performs no rate-limiting, failed-attempt counting, or account lockout when captcha is disabled, which is the default configuration. An unauthenticated attacker can send unlimited password-guessing requests against any account, including administrators, with no throttling.