CVE-2025-56224（OTP）验证绕过

描述

攻击者可以冒充其他用户的手机号码，并利用此漏洞在不知道 OTP 验证码的情况下验证该号码。

---

CVSS 评分：8.1（高危）

---

攻击类型

• 远程（已认证）

---

受影响版本

• 8.6.8 及之前的版本

---

产品供应商

• Ascertia

---

受影响产品代码库

• SigningHub

---

受影响组件

• 手机号码验证功能。

---

缓解措施

• 如果尝试次数超过一定值，则撤销 OTP 验证码。

---

漏洞详情

• 该应用程序未对一次性密码（OTP）验证端点实施适当的速率限制。这允许攻击者在不受限制的情况下自动化并暴力破解 OTP 验证码。通过快速连续发送大量 OTP 猜测，攻击者有可能绕过手机号码的 OTP 验证机制。

---

已修复版本

• 8.6.8 之后的版本

---

发现者：

• Yazan Abu-Nadi