CVE-2025-54321

Brak rate limiting w funkcji resetowania hasła w Ascertia SigningHub

CVSS 9.8v3.1pub. 2025-11-18upd. 2025-11-20

Ascertia SigningHub do wersji 8.6.8 włącznie nie ogranicza liczby żądań resetowania hasła, co umożliwia atak email bombing. Uwierzytelniony atakujący może automatycznie wysyłać masowe żądania resetowania hasła pod wskazany adres e-mail.

▸ Pokaż oryginał (EN)

In Ascertia SigningHub through 8.6.8, there is a lack of rate limiting on the reset password function, leading to an email bombing vulnerability. An authenticated attacker can exploit this by automating reset password requests.

🤖 Analiza AI

Jak działa

Funkcja resetowania hasła w aplikacji nie posiada mechanizmu rate limiting, tzn. nie ogranicza liczby żądań wysyłanych przez jednego użytkownika w określonym czasie. Uwierzytelniony atakujący może zautomatyzować wysyłanie żądań resetowania hasła, powodując generowanie setek lub tysięcy wiadomości e-mail do docelowego użytkownika. Skutkuje to zalaniem skrzynki pocztowej ofiary (email bombing), co może prowadzić do zakłócenia jej działania.

Skutki

Atakujący może zalać skrzynkę pocztową wybranego użytkownika masą automatycznie generowanych wiadomości e-mail z linkami do resetowania hasła, co prowadzi do zakłócenia dostępności usługi pocztowej ofiary i potencjalnego utrudnienia jej pracy.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się zapoznanie z polityką ujawniania podatności opublikowaną przez Ascertia pod adresem wskazanym w referencjach.

Kogo dotyczy

Ascertia SigningHub w wersjach do 8.6.8 włącznie

Uwagi

Pomimo oceny CVSS 9.8 (CRITICAL), rzeczywisty wpływ podatności jest ograniczony do email bombing przez uwierzytelnionego atakującego — wektor CVSS może być zawyżony w stosunku do faktycznego ryzyka. Proof-of-concept dostępny publicznie w repozytorium GitHub wskazanym w referencjach.