LatePoint Eklentisi OTP Doğrulama Hatası ile Yetkisiz Giriş Riski
Yapay zeka üretimi17.10.2026
- CVE
- CVE-2026-110653
- Ciddiyet
- Kritik (CVSS 9.1)
- Firma / ürün
- - / -
Özet
LatePoint takvim ve randevu eklentisinin tüm sürümlerinde (5.7.4 dahil) OTP doğrulama sürecinde yarış koşulu (race condition) nedeniyle kimlik doğrulama atlatılabiliyor.
Ayrıntılar
NVD kaydına göre LatePoint eklentisi, OTP doğrulama denemeleri sayacını güncellerken atomik olmayan bir işlem kullanıyor. Güncelleme sırasında eski bellek değeriyle sayacın artırılması ve WHERE koşulu olmaması, aynı anda gelen isteklerin 10 deneme sınırlamasını aşmasına izin veriyor. Bu durum, hedef müşterinin e-posta ya da telefon numarasını bilen kimliksiz saldırganların aynı anda birden fazla istek göndererek 6 haneli OTP kodunu deneme şansı elde etmesini ve hesabına tam erişim sağlamasını mümkün kılıyor. Saldırganlar, nonce değerini de açık uçlu endpointlerden elde edebildikleri için ek bir engelle karşılaşmıyor.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne erişimi mümkün olduğunca sınırlı tutun.