PT-2020-12549 · Rain · October Cms Debugbar Plugin
Freddie Poser
·
Publicado
2020-06-03
·
Atualizado
2020-06-10
·
CVE-2020-11094
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do plugin debugbar do October CMS anteriores à 3.1.0
Descrição
O plugin debugbar do October CMS contém um recurso que registra todas as solicitações, incluindo dados de sessão, quando ativado. Isso representa um problema se o plugin estiver ativado em um sistema acessível a usuários não confiáveis, pois eles poderiam usar esse recurso para visualizar solicitações e obter informações confidenciais, levando potencialmente à invasão de contas de usuários autenticados. Um invasor poderia, teoricamente, obter acesso total ao sistema se as condições necessárias existissem.
Recomendações
Para versões anteriores à 3.1.0, atualize para a versão 3.1.0 ou posterior, que bloqueia o acesso à barra de depuração e restringe o recurso que permite o acesso às informações de solicitações armazenadas por meio de uma permissão mais restritiva. Como alternativa, aplique o patch manualmente a partir de https://github.com/rainlab/debugbar-plugin/commit/86dd29f9866d712de7d98f5f9dc67751b82ecd18 caso não seja possível atualizar para a v3.1.0.
Correção
Insertion into Log File
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
October Cms Debugbar Plugin