2 недели назад
90 секунд до account takeover: почему password reset — самое слабое звено вашей инфраструктуры
Два часа разведки, fingerprinting стека, изучение периметра — а захват аккаунта администратора занял полторы минуты. Один POST-запрос к эндпоинту сброса пароля, и сервер молча принял новый пароль без email-подтверждения. Без токена. Без верификации текущего пароля. Просто взял и сбросил. Это не теоретическая атака. Два свежих CVE показывают, как именно это работает на практике. 🎇CVE-2026-23760 (SmarterMail) — CVSS 9.8, CRITICAL Эндпоинт /api/v1/auth/force-reset-password принимал анонимные запросы...