CVE-2026-48611
OAuth कार्यान्वयन में अनुचित प्रमाणीकरण जाँच खाता अपहरण की अनुमति देती हैं, भले ही OAuth कॉन्फ़िगर या सक्षम न हो, जिससे डिफ़ॉल्ट इंस्टॉलेशन में अनधिकृत पहुँच होती है।
- प्रकाशित
- 12 जून 2026
- अद्यतन
- 12 जून 2026
- सीएनए असाइन करना
- hackerone
- साक्ष्य देखे गए
- 17 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 86.7%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
OAuth कार्यान्वयन में अनुचित प्रमाणीकरण जाँच खाता अपहरण की अनुमति देती हैं, भले ही OAuth कॉन्फ़िगर या सक्षम न हो, जिससे डिफ़ॉल्ट इंस्टॉलेशन में अनधिकृत पहुँच होती है।
स्रोत
http/cves/2026/CVE-2026-48611.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- phpBB-CVE-2026-48611एक्सप्लॉइट
CVE-2026-48611 के लिए स्वचालित PoC — phpBB OAuth login_link प्रमाणीकरण बाईपास
Python प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट जो phpBB 3.3.16 और उससे नीचे के संस्करणों में सत्र कुकीज़ को फ़ोर्ज करके प्रमाणीकरण को बायपास करता है और एडमिन एक्सेस प्राप्त करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।