PT-2020-18336 · Wagtail · Wagtail-2Fa

Publicado 2020-03-13 · Atualizado 2020-03-18 · CVE-2020-5240

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.5

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do wagtail-2fa anteriores à 1.4.1

Descrição

A vulnerabilidade permite que qualquer usuário com acesso ao CMS visualize e exclua os dispositivos de autenticação de dois fatores (2FA) de outros usuários, acessando o caminho correto, sem a necessidade de permissões especiais. Ao excluir o dispositivo de outro usuário, um invasor pode desativar os dispositivos 2FA do usuário alvo e, potencialmente, comprometer a conta caso descubra a senha.

Recomendações

Para versões anteriores à 1.4.1, atualize para a versão 1.4.1 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao CMS para minimizar o risco de exploração.

Correção

Improper Authorization

Incorrect Authorization

Enumeração de Fraquezas

CWE-285

CWE-863

Identificadores relacionados

CVE-2020-5240

GHSA-9GJV-6QQ6-V7QM

PYSEC-2020-219

Produtos afetados

Wagtail-2Fa

Referências · 9

• https://github.com/pypa/advisory-database/tree/main/vulns/wagtail-2fa/PYSEC-2020-219.yaml · Nota
• https://github.com/labd/wagtail-2fa/security/advisories/GHSA-9gjv-6qq6-v7qm · Nota
• https://github.com/labd/wagtail-2fa/commit/ac23550d33b7436e90e3beea904647907eba5b74 · Correção
• https://github.com/labd/wagtail-2fa · Nota
• https://osv.dev/vulnerability/PYSEC-2020-219 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-5240 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9gjv-6qq6-v7qm · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-5240 · Nota de Segurança
• https://t.me/cvenotify/1684 · Publicação no Telegram