CVE-2026-31283

설명

• 비밀번호 찾기 기능을 사용하여 피해자 이메일로 이메일 폭탄 공격을 실행할 수 있습니다.

---

CVSS 3 점수: 7.5 (높음)

---

공격 유형

• 원격 (인증되지 않음)

---

영향을 받는 버전

• 19.1.5 이하 버전

---

제품 공급업체

• Totara

---

영향을 받는 제품 코드 베이스

• Totara LMS

---

영향을 받는 구성 요소

• 비밀번호 찾기 API.

---

완화 조치

• 비밀번호 찾기 API에 속도 제한(rate-limit)을 구현하십시오.

---

취약점 세부 정보

• 비밀번호 찾기 API는 대상 이메일 주소에 대한 속도 제한(rate limiting)을 구현하지 않습니다. 이는 이메일 폭탄 공격에 사용될 수 있습니다.

---

수정된 버전

• 19.1.5 이후 버전(> 19.1.5)

---

발견자:

• Yazan Abu-Nadi