CVE-2025-71457

vtenext 25.02 before 25.02.1 Unverified Password Change via hub/rpwd.php

CVSS 3.1Medium

9.3/ 10.0

Опубликовано

4 ноября 2026 г.

Обновлено

4 ноября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите vtenext до версии 25.02.1.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В vtenext обнаружен обход аутентификации, позволяющий неаутентифицированным пользователям менять пароли учётных записей. Это ведёт к несанкционированному доступу к системе.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях vtenext 25.02 до 25.02.1 скрипт hub/rpwd.php не проверяет токен при смене пароля. Зная user_name, атакующий может вызвать RecoverPwd::displayChangePwd() с action=change_password и войти под администратором без 2FA.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Смена паролей любых учётных записей и несанкционированный вход под учётными записями администраторов без двухфакторной аутентификации.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

blog.sicuranext.comhttps://blog.sicuranext.com/vtenext-25-02-a-three-way-path-to-rce/
0xbro.redhttps://0xbro.red/posts/vtenext-25-02-a-three-way-path-to-rce/
usermanual.vtenext.comhttps://usermanual.vtenext.com/books/release-notes-history/page/vtenext-25021-release-note
www.vulncheck.comhttps://www.vulncheck.com/advisories/vtenext-25.02-before-25.02.1-unverified-password-change-via-hub-rpwd-php

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2025-71457: vtenext 25.02 before 25.02.1 Unverified Password Change via hub/rpwd.php. URL: https://cve.futuretools.ru/cve/CVE-2025-71457

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2025_71457,
  title = {{CVE-2025-71457: vtenext 25.02 before 25.02.1 Unverified Password Change via hub/rpwd.php}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2025-71457}},
  note = {Оперативный инженерный анализ киберугроз}
}