CVE-2026-90522: слабое восстановление пароля в jaychouchannel Tourism-Management-System
В jaychouchannel Tourism-Management-System выявлена уязвимость слабого механизма восстановления пароля в компоненте Password Recovery. Уязвимость позволяет удалённо воздействовать на функцию resetPass, эксплойт уже опубликован. Уровень опасности — средний (CVSS 6.9).
Подробности
Уязвимости присвоен идентификатор CVE-2026-90522, базовая оценка CVSS составляет 6.9 (MEDIUM). Проблема классифицируется как слабое восстановление пароля (weak password recovery) и может эксплуатироваться удалённо, то есть атакующему не требуется физический доступ к системе. Уязвимость затрагивает jaychouchannel Tourism-Management-System вплоть до коммита d984d172dceca907f8b447efbdb06dc233f7938d. Продукт распространяется по модели непрерывных поставок с плавающими релизами (rolling releases), поэтому конкретные номера уязвимых и исправленных версий не указаны. Известно, что исправление внесено коммитом с именем 9cb6215ac871f99a90cde763cf003e95ff282283. Эксплойт для данной уязвимости уже опубликован в открытых источниках, что повышает риск её практического использования. Публичная доступность эксплойта означает, что злоумышленники могут применять его без дополнительной доработки, а значит, время на реакцию ограничено.Что делать
Основная рекомендация — как можно скорее применить патч. Исправление содержится в коммите 9cb6215ac871f99a90cde763cf003e95ff282283; обновите код до этого состояния или до более позднего коммита. Поскольку продукт использует непрерывные поставки, отслеживайте актуальное состояние репозитория и не полагайтесь на фиксированные номера версий. Если обновление невозможно, рассмотрите временные меры: - ограничьте сетевой доступ к функциональности восстановления пароля; - включите дополнительную проверку личности при сбросе пароля; - настройте мониторинг и оповещения о подозрительных запросах к функции resetPass; - проверьте журналы на предмет попыток эксплуатации уязвимости. Помимо этого, рекомендуется провести аудит учётных записей и при необходимости принудительно сменить пароли пользователей, чьи аккаунты могли быть скомпрометированы. Итог: уязвимость CVE-2026-90522 в jaychouchannel Tourism-Management-System имеет средний уровень критичности, но из-за публичного эксплойта и удалённого характера эксплуатации представляет реальную угрозу. Единственный надёжный способ устранения — применение патча и переход на исправленную версию кода.Источник: CVE Project (cvelistV5)