CVE-2026-105703: обход авторизации при смене пароля в PHPGurukul User Registration & Login and User Management System

В системе управления пользователями PHPGurukul обнаружена уязвимость, позволяющая обойти проверку авторизации при смене пароля. Проблема затрагивает компонент Change Password Handler и уже получила публичное раскрытие эксплойта, что повышает риск практического использования.

Подробности

Уязвимость зарегистрирована под идентификатором CVE-2026-105703 и затрагивает PHPGurukul User Registration & Login and User Management System версии 3.3. Проблема локализована в файле loginsystem/admin/change-password.php и связана с обработкой аргумента currentpassword.

По типу это неправильная авторизация (incorrect authorization): при определённой манипуляции значением параметра currentpassword логика проверки прав нарушается, что позволяет выполнить действие без должной аутентификации. Согласно описанию, эксплуатация возможна удалённо. Оценка по шкале CVSS составляет 5.1, что соответствует среднему уровню критичности.

Отдельно отмечается, что эксплойт уже раскрыт публично и может быть использован злоумышленниками. Это означает, что уязвимость не следует рассматривать как теоретическую — практические сценарии атаки доступны широкому кругу лиц.

Что делать

Наиболее надёжная мера — обновить PHPGurukul User Registration & Login and User Management System до версии, в которой проблема устранена. Если на момент публикации исправленная версия недоступна, рекомендуется рассмотреть следующие компенсирующие меры:

• Ограничить сетевой доступ к административному интерфейсу (в частности, к loginsystem/admin/change-password.php) средствами файрвола или reverse proxy, разрешив подключения только с доверенных адресов.
• Ввести дополнительную проверку прав на уровне веб-сервера или приложения перед обработкой запросов на смену пароля.
• Включить журналирование и мониторинг обращений к обработчику смены пароля, чтобы своевременно выявлять подозрительную активность.
• Провести аудит учётных записей администраторов и при необходимости принудительно сменить пароли.

Также стоит отслеживать официальные каналы проекта PHPGurukul на предмет выхода патча.

Уязвимость CVE-2026-105703 относится к классу ошибок авторизации и при среднем показателе CVSS усугубляется наличием публичного эксплойта. Для организаций, использующих PHPGurukul User Registration & Login and User Management System 3.3, приоритетной задачей является обновление продукта либо изоляция уязвимого компонента от внешнего доступа.

Источник: CVE Project (cvelistV5)