CVE-2025-63314 - Acora CMS में अनुचित पासवर्ड रीसेट टोकन हैंडलिंग

Crowe India के Joby Y Daniel द्वारा खोजा गया

📌 अवलोकन

DDSN Interactive cm3 Acora CMS संस्करण 10.7.1 अपनी पासवर्ड रीसेट कार्यक्षमता में एक सुरक्षा भेद्यता रखता है।
एप्लिकेशन एक स्थिर और स्थायी पासवर्ड रीसेट टोकन का उपयोग करता है जो उपयोग के बाद अमान्य नहीं किया जाता है और समय के साथ समाप्त नहीं होता है।

यह दोष एक हमलावर को एक वैध रीसेट टोकन प्राप्त करने पर अनिश्चित काल तक इसका पुन: उपयोग करने की अनुमति देता है, जिससे खाता अधिग्रहण होता है, जिसमें विशेषाधिकार प्राप्त उपयोगकर्ता खाते शामिल हैं।

---

🛠 प्रभावित उत्पाद

• उत्पाद का नाम: cm3 Acora CMS
• विक्रेता: DDSN Interactive
• प्रभावित संस्करण: 10.7.1
• घटक: पासवर्ड रीसेट तंत्र

---

⚠ भेद्यता विवरण

मूल कारण

• पासवर्ड रीसेट टोकन:
  • स्थिर और स्थायी हैं
  • सफल पासवर्ड रीसेट के बाद रद्द नहीं किए जाते
  • निर्धारित समय अवधि के बाद समाप्त नहीं होते

प्रभाव