Podatność typu unverified password change w platformie Vimesoft Inc. Enterprise Video Platform pozwala atakującemu na ominięcie mechanizmu uwierzytelnienia bez znajomości aktualnego hasła. Wysoki wynik CVSS 9.8 wskazuje na krytyczny poziom ryzyka i możliwość pełnego przejęcia konta.
▸ Pokaż oryginał (EN)
Unverified password change vulnerability in Vimesoft Inc. Enterprise Video Platform allows Authentication Bypass. This issue affects Enterprise Video Platform: from 3.11.0.0 before 3.25.0.
Luka (CWE-620) polega na tym, że mechanizm zmiany hasła nie weryfikuje tożsamości użytkownika przed jej akceptacją — nie wymaga podania aktualnego hasła ani innego dowodu potwierdzającego uprawnienia. Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może wywołać proces zmiany hasła dla dowolnego konta. W efekcie przejmuje kontrolę nad kontem poprzez ustawienie nowego, własnego hasła.
Atakujący może przejąć dowolne konto użytkownika lub administratora platformy, co skutkuje pełnym naruszeniem poufności, integralności i dostępności danych przechowywanych w systemie.
Należy zaktualizować Vimesoft Enterprise Video Platform do wersji 3.25.0 lub nowszej. Szczegółowe informacje dostępne są w referencjach producenta oraz w biuletynie bezpieczeństwa pod adresem https://siberguvenlik.gov.tr/guvenlik-bildirimleri/detay/tr-26-0574.
Vimesoft Inc. Enterprise Video Platform w wersjach od 3.11.0.0 do 3.25.0 (przed wersją 3.25.0).
Podatność opublikowana 17 lipca 2026 r. i zgłoszona przez tureckie centrum reagowania na incydenty cyberbezpieczeństwa (TR-CERT) pod identyfikatorem TR-26-0574.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H