CVE-2026-48558
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 10
- EPSS
- 5.7%
- CWE
- CWE-347
- KEV Durumu
- Evet
Yayım tarihi: 12 Haziran 2026 · CISA KEV son iyileştirme tarihi: 2 Temmuz 2026
Etkilenen: simple-help simplehelp
SimpleHelp sürümleri 5.5.15 ve önceki sürümler ile 6.0 ön sürümleri, OIDC kimlik doğrulama akışında bir kimlik doğrulama atlatma zafiyeti içerir. OIDC kimlik doğrulaması yapılandırıldığında, oturum açma sırasında gönderilen kimlik jetonları kriptografik imzaları doğrulanmadan kabul edilir. Zayıflı bir yapılandırmada, uzaktan, kimliği doğrulanmamış bir saldırgan, keyfi kimlik iddiaları içeren sahte bir jeton gönderebilir ve tam olarak kimliği doğrulanmış bir teknisyen oturumu elde edebilir. Bazı yapılandırmalarda, bu ayrıca çok faktörlü kimlik doğrulama atlatmayı da sağlayabilir. Kullanıcı etkileşimi gerekmez.
Orijinal açıklama (İngilizce)
SimpleHelp versions 5.5.15 and prior and 6.0 pre-release versions contain an authentication bypass vulnerability in the OIDC authentication flow. When OIDC authentication is configured, identity tokens submitted during login are accepted without verifying their cryptographic signature. In a vulnerable configuration, a remote, unauthenticated attacker can submit a forged token containing arbitrary identity claims to obtain a fully authenticated technician session. In some configurations, this may also allow bypass of multi-factor authentication. No user interaction is required.
Referanslar
- https://horizon3.ai/attack-research/disclosures/cve-2026-48558-simplehelp-authentication-bypass-iocs/
- https://simple-help.com/release-news
- https://simple-help.com/security/simplehelp-security-update-2026-05
- https://blackpointcyber.com/blog/a-djinn-in-the-machine-taskweavers-node-js-intrusion-chain/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48558
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.