CVE-2026-120250
OpenAlgo 1.0.0.29 before 2.0.3.1 Improper Certificate Validation in SMTP Connections
CVSS 3.1Medium
6.0/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите OpenAlgo до версии 2.0.3.1 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В платформе OpenAlgo отключена проверка сертификатов при установке SMTP-соединений, что позволяет перехватывать учетные данные и корреспонденцию.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В файлах utils/email_utils.py и utils/email_debug.py отключена проверка имени узла и TLS-сертификатов для протоколов STARTTLS и SMTPS. Атакующий в сетевом канале может подменить сертификат и перехватить трафик.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Перехват учетных данных SMTP и почтовых сообщений, включая ссылки для сброса паролей.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/marketcalls/openalgo/commit/af5d5f2cc564ee31cdd1159bc147a9b03cc713ac
- github.comhttps://github.com/marketcalls/openalgo/blob/main/docs/releases/version-2.0.3.1-released.md
- github.comhttps://github.com/marketcalls/openalgo/blob/96e5927e5adbff146f203bf72c7a79add9e6622c/utils/email_utils.py#L403-L406
- github.comhttps://github.com/marketcalls/openalgo
- www.vulncheck.comhttps://www.vulncheck.com/advisories/openalgo-1.0.0.29-before-2.0.3.1-improper-certificate-validation-in-smtp-connections
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-120250: OpenAlgo 1.0.0.29 before 2.0.3.1 Improper Certificate Validation in SMTP Connections. URL: https://cve.futuretools.ru/cve/CVE-2026-120250
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_120250,
title = {{CVE-2026-120250: OpenAlgo 1.0.0.29 before 2.0.3.1 Improper Certificate Validation in SMTP Connections}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-120250}},
note = {Оперативный инженерный анализ киберугроз}
}