Craft Cms · Craft Cms · CVE-2022-37783
**Nome do software vulnerável e versões afetadas**
Versões 3.0.0 a 3.7.32 do Craft CMS
**Descrição**
O problema diz respeito à divulgação de hashes de senha de usuários que se autenticam usando seu endereço de e-mail ou nome de usuário em Anti-CSRF-Tokens. O Craft CMS utiliza um cookie chamado `CRAFT CSRF TOKEN` e um campo oculto HTML chamado `CRAFT CSRF TOKEN` para evitar ataques de Cross Site Request Forgery. O cookie `CRAFT CSRF TOKEN` divulga o hash da senha sem codificá-lo, enquanto o campo oculto HTML correspondente divulga o hash da senha do usuário de forma mascarada, o que pode ser decodificado usando funções públicas da estrutura YII.
**Recomendações**
Para as versões 3.0.0 a 3.7.32 do Craft CMS, considere desativar o cookie `CRAFT CSRF TOKEN` e o campo oculto HTML correspondente até que um patch esteja disponível para impedir a divulgação dos hashes de senha. Restrinja o acesso às funções públicas do framework YII para minimizar o risco de decodificação dos hashes de senha mascarados.