Пост90 секунд до account takeover: почему password reset — самое слабое звено вашей инфраструктуры

90 секунд до account takeover: почему password reset — самое слабое звено вашей инфраструктуры Два часа разведки, fingerprinting стека, изучение периметра — а захват аккаунта администратора занял полторы минуты. Один POST-запрос к эндпоинту сброса пароля, и сервер молча принял новый пароль без email-подтверждения. Без токена. Без верификации текущего пароля. Просто взял и сбросил. Это не теоретическая атака. Два свежих CVE показывают, как именно это работает на практике. 🎇CVE-2026-23760 (SmarterMail) — CVSS 9.8, CRITICAL Эндпоинт /api/v1/auth/force-reset-password принимал анонимные запросы. Отправляешь POST с именем пользователя и новым паролем — готово, аккаунт твой. Никакой аутентификации, никакого reset-токена. Уязвимы все версии до билда 9511. Насколько это серьёзно? CISA добавила уязвимость в каталог Known Exploited Vulnerabilities и пометила связь с ransomware-кампаниями. EPSS — 0.9654, то есть Top 0.12% по вероятности эксплуатации среди всех CVE в базе. Публичный PoC на GitHub, готовый Nuclei-шаблон — порог входа для атакующего практически нулевой. 🎇CVE-2026-18963 (Keycloak) — CVSS 9.1, CRITICAL Тут другой паттерн, но результат тот же. Некорректная проверка состояния в потоке reset-credentials: атакующий отправлял специально сформированный запрос, и сессия перескакивала сразу к этапу обновления пароля, минуя email-верификацию. Уязвимы Keycloak до 26.7.2, RHBK 26.4 до 26.4.15, RHBK 26.6 до 26.6.6. Пока активной эксплуатации не зафиксировано, но CISA оценивает автоматизируемость как yes, а технический импакт — total. Три публичных PoC на GitHub. Вопрос не «если», а «когда». Что делать прямо сейчас: • SmarterMail — обновиться до билда 9511+. Если патч невозможен — WAF-правило на блокировку POST к /api/v1/auth/force-reset-password и IP-whitelist для админки • Keycloak — обновиться до 26.7.2. Временная мера: отключить Forgot Password в каждом realm через Realm Settings → Login. Глобального переключателя нет, придётся пройтись по каждому • На пентесте — проверяйте эндпоинты сброса пароля в Burp Repeater: отправьте запрос на reset, перехватите, попробуйте перескочить к финальному шагу без токена Общий паттерн у обеих CVE один: разработчики тестировали happy path — пользователь запросил сброс, получил email, перешёл по ссылке, ввёл новый пароль. А что если кто-то отправит запрос напрямую к API, минуя все промежуточные шаги? Этот сценарий просто не проверяли. В полной версии — пошаговый чек-лист для Burp Suite, три паттерна эксплуатации и детальный разбор обеих CVE. https://codeby.net/threads/uyazvimost-password-reset-razbor-cve-i-pentest.96019/