PT-2020-14215 · Unknown · Save-Server
Publicado
2020-08-04
·
Atualizado
2020-08-10
·
CVE-2020-15135
CVSS v2.0
6.8
Média
| Vetor | AV:N/AC:M/Au:N/C:P/I:P/A:P |
Nome do software vulnerável e versões afetadas
Versões do save-server anteriores à 1.0.7
Descrição
O problema diz respeito a uma vulnerabilidade CSRF devido à falta de medidas de mitigação contra CSRF. Essa vulnerabilidade permite que usuários mal-intencionados realizem ações como fazer upload, excluir arquivos e adicionar redirecionamentos, caso o usuário tenha uma sessão ativa com o save-server. Se o usuário estiver conectado como root, o ataque é mais grave, permitindo que o usuário mal-intencionado crie, exclua e atualize usuários, incluindo a alteração de senhas. Isso pode levar ao acesso não autorizado a arquivos. A vulnerabilidade é corrigida através da implementação do padrão de cookie de envio duplo.
Recomendações
Para versões anteriores à 1.0.7, atualize para a versão 1.0.7 ou superior para resolver o problema. Como solução temporária, considere restringir o acesso a ações confidenciais até que a atualização seja aplicada. Evite usar o save-server com uma sessão ativa enquanto navega em sites potencialmente maliciosos para minimizar o risco de exploração.
Exploit
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Save-Server