CVE-2025-63314

System generuje statyczny token resetowania hasła, który nie jest unikatowy ani jednorazowy — pozostaje ważny po pierwszym użyciu. Atakujący przechwytujący taki token (np. z historii przeglądarki, logów serwera, wiadomości e-mail lub innego kanału komunikacji) może przeprowadzić atak typu replay attack, ponownie wysyłając żądanie resetowania hasła z tym samym tokenem. Nie jest wymagane żadne uwierzytelnienie ani interakcja ofiary, a podatność jest dostępna zdalnie przez sieć bez dodatkowych warunków wstępnych (CVSS AV:N/AC:L/PR:N/UI:N).

Atakujący może arbitralnie zresetować hasło dowolnego użytkownika systemu CMS i przejąć pełną kontrolę nad jego kontem, co może prowadzić do nieuprawnionego dostępu do zarządzanych treści, danych użytkowników oraz dalszego kompromitowania systemu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (http://acora.com, http://ddsn.com). Do czasu aktualizacji zaleca się wymuszenie jednorazowości i ograniczenia czasowego tokenów resetowania hasła oraz monitorowanie logów pod kątem wielokrotnego użycia tych samych tokenów.

DDSN Interactive Acora CMS w wersji 10.7.1

Publiczny proof-of-concept dostępny w repozytorium GitHub: https://github.com/padayali-JD/CVE-2025-63314. Podatność sklasyfikowana jako CWE-640 (Weak Password Recovery Mechanism for Forgotten Password). Pomimo braku wpisu w CISA KEV, maksymalny wynik CVSS 10.0 i publiczny exploit nakazują priorytetowe traktowanie tej podatności.