یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-101041 در قابلیت بازیابی حساب کاربری (Password Reset) اپلیکیشن وب vulnerability-lookup شناسایی شده است. این نقص امنیتی از نوع Race Condition و به‌طور دقیق‌تر مدل Time-of-Check-to-Time-of-Use (TOCTOU) است که در نحوه مدیریت توکن‌های بازیابی تک‌بار مصرف (Single-use recovery tokens) رخ می‌دهد.
تحلیل فنی نقص امنیتی
در پیاده‌سازی فعلی این برنامه، فرآیند اعتبارسنجی توکن و حذف آن از پایگاه داده در دو عملیات مجزا انجام می‌شود. سیستم ابتدا مقدار Nonce توکن را با Digest ذخیره شده در دیتابیس مقایسه کرده و سپس در یک مرحله جداگانه، توکن را برای جلوگیری از استفاده مجدد پاک می‌کند.
به دلیل این جداسازی، اگر دو درخواست HTTP به‌صورت همزمان (Concurrent) با یک توکن معتبر ارسال شوند، هر دو درخواست می‌توانند مرحله اعتبارسنجی را پیش از آنکه تراکنش اول منجر به حذف توکن شود، پاس کنند. این موضوع منجر به بروز وضعیت Race Condition شده و به مهاجم اجازه می‌دهد از یک توکن بازیابی به‌طور موازی استفاده کند.
- نوع آسیب‌پذیری: TOCTOU Race Condition
- تاثیر: دور زدن مکانیزم‌های امنیتی توکن‌های تک‌بار مصرف
- بستر affected: مکانیزم Account Recovery
