PT-2020-14405 · Venki · Venki Supravizio Bpm

Inflixim4Be · Publicado 2020-07-07 · Atualizado 2021-07-21 · CVE-2020-15392

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Venki Supravizio BPM versão 10.1.2

Descrição

Foi identificada uma falha de enumeração de usuários no processo de recuperação de senha. Essa vulnerabilidade permite que um invasor determine se um nome de usuário é válido ou não, analisando as diferenças nas mensagens de erro, possibilitando um ataque de força bruta com nomes de usuário válidos.

Recomendações

Para o Venki Supravizio BPM versão 10.1.2, considere modificar o processo de recuperação de senha para retornar mensagens de erro genéricas, evitando a divulgação de nomes de usuário válidos. Como solução temporária, restrinja o acesso ao recurso de recuperação de senha para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2020-15392

Produtos afetados

Venki Supravizio Bpm

Referências · 5

• 🔥 https://github.com/inflixim4be/CVE-2020-15392 · Exploit
• https://t.me/cvenotify/4910 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-15392 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15392 · Nota de Segurança
• https://venki.com.br · Aviso do Fabricante