CVE-2025-56224 (OTP) обход проверки

Описание

злоумышленник может выдать себя за номер мобильного телефона другого пользователя и использовать эту уязвимость для проверки номера без знания кода OTP.

---

Оценка CVSS: 8.1 (Высокая)

---

Тип атаки

• Удалённая (требуется аутентификация)

---

Затронутые версии

• Версии до <= 8.6.8

---

Производитель продукта

• Ascertia

---

Затронутая кодовая база продукта

• SigningHub

---

Затронутый компонент

• Функция проверки номера мобильного телефона.

---

Меры по смягчению

• Отзывать код OTP, если количество попыток превысило определённое значение.

---

Детали уязвимости

• Приложение не обеспечивает надлежащее ограничение скорости на конечной точке проверки одноразового пароля (OTP). Это позволяет злоумышленнику автоматизировать и перебирать коды OTP без ограничений. Отправляя большое количество предположений OTP в быстрой последовательности, злоумышленник может потенциально обойти механизм проверки OTP номера мобильного телефона.

---

Исправленные версии

• Версии после > 8.6.8

---

Обнаружено:

• Yazan Abu-Nadi