جزئیات آسیب‌پذیری
CVE-2026-46513
mwtcmi frogman
Frogman: API tokens stored in plaintext
CVSS 3.1
7.4بالا
شرح رسمی (انگلیسی)
Frogman provides headless PBX control through MCP and HTTP API. Prior to 1.6.2, Frogman stored API tokens generated by Tools/CreateApiToken.php:33-36 as raw bin2hex(random_bytes(32)) strings in oc_api_tokens, and Frogman.class.php:78 authenticated the X-Frogman-Token header by comparing it with the stored raw value, allowing database read access to recover reusable active tokens at their assigned permission level, including admin. This issue is fixed in version 1.6.2.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.4بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| mwtcmi | frogman | < 1.6.2 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/mwtcmi/frogman/security/advisories/GHSA-9xf5-9ghq-p6cw x_refsource_CONFIRM
- https://github.com/mwtcmi/frogman/commit/b10f314add08c8e7585ba4b27d071b07d026ab55 x_refsource_MISC
- https://github.com/mwtcmi/frogman/releases/tag/v1.6.1 x_refsource_MISC
- https://github.com/mwtcmi/frogman/releases/tag/v1.6.2 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۴/۲۵
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۴/۲۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۳٪
احتمال بهره‌برداری در ۳۰ روز
۳۷٫۷٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-256Plaintext Storage of a Password