vtenext
vtenext: cambio password di qualsiasi account senza autenticazione
Il problema, secondo i dati ufficiali
- In vtenext la pagina hub/rpwd.php permette di cambiare la password di qualsiasi account senza verificare alcun token. Inviando action=change_password a RecoverPwd::displayChangePwd(), un attaccante può impostare una nuova password.
- Può sfruttarla chiunque via rete, senza account, a condizione di conoscere un user_name valido.
- In questo modo l'attaccante può accedere come amministratore, se l'account amministratore non ha l'autenticazione a due fattori.
Cosa fare
- Aggiorna vtenext alla versione 25.02.1 o successiva.
- Se il servizio è raggiungibile da internet e non puoi aggiornare subito, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- vtenext: dalla 25.02 alla 25.02.1 esclusa
Fonti ufficiali
- usermanual.vtenext.com — note di rilascio
- blog.sicuranext.com — riferimento
- 0xbro.red — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
vtenext 25.02 before 25.02.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to change any account password via hub/rpwd.php without token verification. Attackers knowing a valid user_name can send action=change_password to RecoverPwd::displayChangePwd() and log in as administrators lacking two-factor authentication.
Non sai se ti riguarda?
Se usi vtenext e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 5 novembre 2026. Prima di intervenire verifica l'avviso del produttore.