CVE-2025-55796 – Vorhersagbare MD5-Tokens in openml.org ermöglichen Account-Übernahme

Beschreibung

Die Webanwendung openml/openml.org (Version v2.0.20241110) verwendet laut NVD für kritische Workflows wie Registrierungsbestätigung, Passwort-Reset, erneuten Versand der E-Mail-Bestätigung und Bestätigung von E-Mail-Änderungen vorhersagbare, MD5-basierte Tokens. Diese entstehen durch Hashing des aktuellen, tagesgenau formatierten Zeitstempels, ohne benutzerspezifische Daten oder kryptografischen Zufall einzubeziehen. Dadurch können entfernte Angreifer gültige Tokens innerhalb eines kleinen Zeitfensters erraten und so unautorisiert Konten bestätigen, Passwörter zurücksetzen oder E-Mail-Änderungen genehmigen, was bis zur vollständigen Account-Übernahme führen kann. CVSS-Basiswert: 7.5 (Hoch).

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Matrix Synapse / Element

• Hitachi Vantara Pentaho BA Server – Special Element Injection KEV CVE-2022-43769
• jQuery – Cross-Site Scripting (XSS) KEV CVE-2020-11023
• Adobe Flash Player – Integer Overflow KEV CVE-2015-8651
• Apache Tomcat Remote Code Execution KEV CVE-2017-12617
• Jenkins Matrix Project Plugin – Remote Code Execution KEV CVE-2019-1003030
• Apache Tomcat – Improper Privilege Management KEV CVE-2020-1938