CVE-2026-25858: macrozheng mall: exposição de OTP na redefinição de senha permite tomada de conta

Visão geral

O registro descreve a CVE-2026-25858 no macrozheng mall, que afeta a versão 1.0.3 e anteriores. A fraqueza está no fluxo de redefinição de senha do componente mall-portal e é classificada como CWE-640, Mecanismo de Recuperação de Senha Fraco. Os textos desta análise se baseiam no registro da NVD e no aviso da VulnCheck.

Impacto

Segundo o registro, um atacante não autenticado poderia redefinir senhas de contas de usuários arbitrários usando apenas o número de telefone da vítima.
O registro descreve isso como tomada de conta remota para usuários com número de telefone conhecido ou facilmente adivinhável.
A VulnCheck atribui pontuação 9.1 pelo CVSS 3.1, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário. O registro indica alto impacto em confidencialidade e integridade e nenhum impacto em disponibilidade.

Produtos e versões afetadas

Produto: Macrozheng Mall.
Intervalo listado: versão 1.0.3 e anteriores, apresentado no registro como menor ou igual a 1.0.3.
O registro não informa limite inferior do intervalo nem versão corrigida.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA, por isso não é apresentada aqui como explorada ativamente na natureza.
Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
O EPSS, conforme o registro, indica probabilidade de 0.01099 e percentil de 0.64793.

Correção e mitigação

Inventariar todas as implantações do macrozheng mall na versão 1.0.3 ou anterior, incluindo ambientes internos, de homologação e de teste.
Verificar no projeto upstream e no seu rastreador de issues se há correção oficial ou atualização. O registro não identifica nenhuma.
Enquanto não houver correção verificada, limitar a exposição de rede da interface do mall-portal e restringir o acesso às funções de redefinição de senha.
Avaliar se o processo de redefinição depende apenas de número de telefone e de um código retornado, e acrescentar verificação de identidade independente sempre que possível.
Revisar contas que podem ter sido afetadas, incluindo alterações de senha inesperadas e atividade de login incomum.

Orientações de detecção

Analisar logs web e de API em busca de volumes incomuns de solicitações de redefinição de senha, especialmente muitas solicitações para números de telefone diferentes.
Gerar alertas para eventos de redefinição não confirmados pelo titular legítimo da conta e para logins em locais novos logo após uma redefinição.
Monitorar respostas de redefinição que contenham dados sensíveis de verificação, algo que uma implementação correta nunca deveria devolver ao cliente.

Limitações das informações disponíveis

O registro não inclui aviso do fornecedor, versão corrigida nem a resposta do fornecedor.
As pontuações variam entre fontes: a VulnCheck com CVSS 3.1 indica 9.1, a NVD com CVSS 3.1 indica 9.8 e a VulnCheck com CVSS 4.0 indica 9.3.
O registro não informa se o caminho de redefinição vulnerável vem habilitado por padrão nem qual é sua disseminação.

Perguntas frequentes

Qual é a fraqueza central da CVE-2026-25858?

Segundo o registro, o fluxo de redefinição devolve a senha de uso único na resposta da API e valida as solicitações apenas com um valor armazenado por número de telefone, sem verificar a identidade do usuário nem a posse do telefone.

Existe versão corrigida disponível?

O registro não lista versão corrigida. O status de uma correção oficial é desconhecido, por isso os administradores devem consultar o projeto upstream para obter atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.