جزئیات آسیب‌پذیری
CVE-2026-92984
hubzero hubzero-cms
HUBzero CMS through 2.2.32 Session Fixation via Query-String Session Identifier
CVSS 4.0
8.5بالا
شرح رسمی (انگلیسی)
HUBzero CMS through 2.2.32 accepts session identifiers from query strings and request variables instead of cookies alone, allowing unauthenticated attackers to fixate victim sessions. Attackers can obtain a valid session identifier, send victims a crafted link containing it, and replay the identifier after the victim authenticates to hijack their account and access.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.5بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
| 8.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| hubzero | hubzero-cms | v ≤ 2.2.32 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/hubzero/hubzero-cms/commit/e60e8ebee5e1d38b1db1fc41bd9164b265b24356 patch
- https://github.com/hubzero/hubzero-cms product
- https://github.com/hubzero/hubzero-cms/blob/v2.2.32/core/libraries/Hubzero/Session/Manager.php#L123-L132 technical-description
- https://www.vulncheck.com/advisories/hubzero-cms-through-2.2.32-session-fixation-via-query-string-session-identifier third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۲۶
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۳۱
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۶٪
احتمال بهره‌برداری در ۳۰ روز
۴۰٫۴٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-384Session Fixation