CVE-2026-120447
HotGo through 2.15.1 Authentication Bypass via Client-Set SMS Verification Code
CVSS 3.1Medium
9.2/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Исправленная версия не указана. Проверьте бюллетень производителя.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В системе HotGo обнаружен обход аутентификации, позволяющий неавторизованному злоумышленнику самостоятельно задавать проверочный SMS-код.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Эндпоинт /admin/sms/send принимает значение проверочного кода через поле Code от клиента. Зная номер мобильного телефона пользователя, атакующий может задать известный код и войти через /admin/site/mobileLogin.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Полный захват учётных записей пользователей, включая администраторов.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/bufanyun/hotgo/issues/240
- github.comhttps://github.com/bufanyun/hotgo/commit/cb57056c746650e6ff86dec1e97d404b63dcfd30
- vul.yulun.ac.cnhttps://vul.yulun.ac.cn/20261102/hotgo/
- github.comhttps://github.com/bufanyun/hotgo/blob/269b2f9e435cf8ff6b18d53bc053a905f4e02d11/server/internal/logic/sys/sms_log.go
- github.comhttps://github.com/bufanyun/hotgo/blob/269b2f9e435cf8ff6b18d53bc053a905f4e02d11/server/internal/model/input/sysin/sms_log.go
- www.vulncheck.comhttps://www.vulncheck.com/advisories/hotgo-through-2.15.1-authentication-bypass-via-client-set-sms-verification-code
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-120447: HotGo through 2.15.1 Authentication Bypass via Client-Set SMS Verification Code. URL: https://cve.futuretools.ru/cve/CVE-2026-120447
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_120447,
title = {{CVE-2026-120447: HotGo through 2.15.1 Authentication Bypass via Client-Set SMS Verification Code}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-120447}},
note = {Оперативный инженерный анализ киберугроз}
}