🛡️ Две критичные уязвимости в сбросе пароля: SmarterMail и Keycloak
🛡️ Две критичные уязвимости в сбросе пароля: SmarterMail и Keycloak Исследователи разобрали две свежие уязвимости, где пароль можно сменить в обход подтверждений. Логика у обеих похожая: разработчики проверяли обычный путь со письмом и ссылкой, а прямой запрос к API проходил мимо всей цепочки. 1. SmarterMail, CVE-2026-23760, CVSS 9.8. Endpoint /api/v1/auth/force-reset-password принимал анонимные POST с логином и новым паролем, без токена сброса и без проверки текущего пароля. Уязвимы все сборки до 9511. Уязвимость попала в каталог Known Exploited Vulnerabilities от CISA, есть публичный PoC и шаблон для Nuclei. 2. Keycloak, CVE-2026-18963, CVSS 9.1. Специально сформированный запрос перескакивал с этапа сброса сразу к смене пароля, минуя проверку почты. Уязвимы версии до 26.7.2, а также RHBK 26.4 до 26.4.15 и 26.6 до 26.6.6. Что делать сейчас: обновить SmarterMail до сборки 9511 и выше, Keycloak до 26.7.2. Если с патчем не выходит, закрыть на WAF запросы POST к /api/v1/auth/force-reset-password и ограничить вход в админку по IP, а в Keycloak отключить Forgot Password в каждом realm. Полная статья: https://clck.su/jhSlV 🔗 Полная версия: https://belskii.com/news/dve-kritichnye-uyazvimosti-v-sbrose-parolya-smartermail-i-ke/ 🗓 2026-10-21 · #ИБ #CVE #безопасность