CVE-2026-26747

Aplikacja Monica generuje bezwzględne adresy URL (np. do resetowania hasła) na podstawie wartości nagłówka HTTP Host dostarczonego przez użytkownika, zamiast korzystać ze sztywno skonfigurowanego adresu bazowego. Domyślna konfiguracja pozostawia parametr 'app.force_url' jako nieustawiony (wartość 'false'), przez co mechanizm ochronny nie jest aktywowany. Atakujący może wysłać do aplikacji żądanie z zmanipulowanym nagłówkiem Host wskazującym na kontrolowany przez niego serwer, co skutkuje wygenerowaniem linku resetowania hasła kierującego ofiarę do złośliwej domeny. Kod odpowiedzialny za to zachowanie zlokalizowany jest w pliku app/Providers/AppServiceProvider.php.

Atakujący może przejąć token resetowania hasła ofiary, gdy ta kliknie spreparowany link, co w konsekwencji prowadzi do przejęcia konta użytkownika. Podatność umożliwia zdalne ataki bez uwierzytelnienia i bez interakcji ze strony atakującego poza wygenerowaniem odpowiedniego żądania.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako obejście należy jawnie skonfigurować parametr 'app.force_url' w pliku konfiguracyjnym aplikacji, wskazując prawidłowy adres bazowy, co zapobiega wykorzystaniu nagłówka Host do generowania URL-i.

Monica w wersji 4.1.2 z domyślną konfiguracją, w której parametr 'app.force_url' nie jest ustawiony (wartość domyślna 'false').

Szczegóły techniczne podatności zostały opublikowane przez badacza w repozytorium GitHub (hungnqdz/cve-research). Podatność wymaga interakcji ofiary (kliknięcia w spreparowany link), mimo że wektor CVSS wskazuje UI:N — co może oznaczać, że sam atak po stronie atakującego nie wymaga interakcji użytkownika do jego przeprowadzenia, natomiast pełne przejęcie konta wymaga działania ofiary.