CVE-2026-94112
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
mayswind ezBookkeeping przed wersją 2.0.0 nie unieważnia kodów TOTP po ich użyciu, co pozwala atakującym na powtórne użycie przechwyconych kodów w oknie akceptacji. Atakujący ze skradzionymi poświadczeniami mogą się uwierzytelnić i ponownie użyć przechwyconego kodu w wielu próbach autoryzacji przez około 90 sekund bez wykrycia.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do kont użytkowników, nawet jeśli włączone jest uwierzytelnianie dwuskładnikowe, co może prowadzić do naruszenia danych finansowych.
Rekomendacja
Zaleca się aktualizację ezBookkeeping do wersji 2.0.0 lub nowszej, która unieważnia kody TOTP po użyciu, oraz rozważenie dodatkowych mechanizmów bezpieczeństwa.
Inne podatności w ezBookkeeping
Zobacz wszystkie- CVE-2026-86041Średnie
ezBookkeeping tworzy router Gin za pomocą gin.New() bez konfiguracji SetTrustedProxies, przez co c.ClientIP() ufa sfałszowanej wartości X-Forwarded-For. Nieuwierzytelniony zdalny atakujący może podać adres z listy dozwolonych, aby ominąć bramkę mcp_allowed_remote_ips lub api_token_allowed_remote_ips. Do chronionych akcji nadal wymagany jest ważny token MCP lub API, ale sfałszowana wartość jest zapisywana w Transaction.CreatedIp i logach, przypisując aktywność zaufanemu hostowi.
- CVE-2026-105131Średnie
ezBookkeeping 1.2.0 przed wersją 2.0.1 zawiera podatność eskalacji uprawnień, która pozwala atakującym posiadającym token API uzyskać pełny token sesji poprzez /api/v1/tokens/refresh.json. Ponieważ TokenRefreshHandler nigdy nie sprawdza typu tokenu, atakujący mogą wymienić krótkotrwałe lub ograniczone do IP tokeny API na 30-dniowe normalne tokeny sesji, które omijają wygaśnięcie tokenu API i listy dozwolonych.
Oryginalny opis (angielski, źródło NVD)
mayswind ezBookkeeping before 2.0.0 fails to invalidate TOTP passcodes after use, allowing attackers to replay captured codes within the acceptance window. Attackers with stolen credentials can authenticate and reuse a captured passcode against multiple authorization attempts for approximately 90 seconds without detection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS