CVE-2025-56224 (OTP) تجاوز التحقق

الوصف

يمكن للمهاجم انتحال رقم هاتف محمول لمستخدم آخر واستخدام هذه الثغرة للتحقق من الرقم دون معرفة رمز OTP.

---

درجة CVSS: 8.1 (عالية)

---

نوع الهجوم

• عن بُعد (مصادق عليه)

---

الإصدارات المتأثرة

• الإصدارات قبل <= 8.6.8

---

بائع المنتج

• Ascertia

---

قاعدة كود المنتج المتأثر

• SigningHub

---

المكوّن المتأثر

• وظيفة التحقق من رقم الهاتف المحمول.

---

التخفيفات

• إبطال رمز OTP إذا تجاوز عدد المحاولات قيمة معينة.

---

تفاصيل الثغرة

• لا يفرض التطبيق تحديد معدل مناسب على نقطة التحقق من كلمة المرور لمرة واحدة (OTP). يسمح هذا للمهاجم بأتمتة وتخمين رموز OTP دون قيود. من خلال إرسال حجم كبير من تخمينات OTP بتتابع سريع، يمكن للمهاجم تجاوز آلية التحقق من OTP لرقم الهاتف المحمول.

---

الإصدارات المُصلحة

• الإصدارات بعد > 8.6.8

---

اكتُشفت بواسطة:

• Yazan Abu-Nadi