CVE-2026-40588
Beschrijving NL
blueprintUE is een hulpmiddel om ontwikkelaars van Unreal Engine te helpen. Voorafgaand aan 4.2.0 bevat het wachtwoordwijzigingsformulier op /profile/{slug}/edit/ geen veld current_password en wordt het bestaande wachtwoord van de gebruiker niet geverifieerd voordat een nieuw wachtwoord wordt geaccepteerd. Elke aanvaller die een geldige geverifieerde sessie verkrijgt — via XSS-exploitatie, sidejacking van sessies via HTTP, fysieke toegang tot een ingelogde browser of een gestolen "onthoud mij" -cookie — kan het accountwachtwoord onmiddellijk wijzigen zonder de oorspronkelijke inloggegevens te kennen, wat resulteert in permanente accountovername. Deze kwetsbaarheid is opgelost in 4.2.0.
Origineel (Engels) tonen
blueprintUE is a tool to help Unreal Engine developers. Prior to 4.2.0, the password change form at /profile/{slug}/edit/ does not include a current_password field and does not verify the user's existing password before accepting a new one. Any attacker who obtains a valid authenticated session — through XSS exploitation, session sidejacking over HTTP, physical access to a logged-in browser, or a stolen "remember me" cookie — can immediately change the account password without knowing the original credential, resulting in permanent account takeover. This vulnerability is fixed in 4.2.0.