PT-2021-10213 · Unknown · Lin-Cms-Flask

Hatboy · Publicado 2021-08-16 · Atualizado 2022-10-26 · CVE-2020-18698

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Lin-CMS-Flask versão 0.1.1

Descrição:

A vulnerabilidade permite que invasores remotos realizem tentativas de login por força bruta sem restrições por meio da função login no componente app/api/cms/user.py. Isso permite que os invasores tentem vários logins sem serem bloqueados ou restringidos, o que pode levar a um acesso não autorizado.

Recomendações:

Para o Lin-CMS-Flask versão 0.1.1, considere desativar temporariamente a função login no componente app/api/cms/user.py até que um patch esteja disponível para impedir tentativas de login por força bruta. Restrinja o acesso ao componente app/api/cms/user.py para minimizar o risco de exploração. Evite usar a função login no componente afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Restriction of Excessive Authentication Attempts

Enumeração de Fraquezas

CWE-307

Identificadores relacionados

CVE-2020-18698

GHSA-H6R2-PGVX-683C

PYSEC-2021-339

Produtos afetados

Lin-Cms-Flask

Referências · 10

• 🔥 https://github.com/TaleLin/lin-cms-flask/issues/27 · Exploit
• https://github.com/TaleLin/lin-cms-flask · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/lin-cms/PYSEC-2021-339.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-18698 · Nota de Segurança
• https://cwe.mitre.org/data/definitions/307.html · Nota
• https://osv.dev/vulnerability/CVE-2020-18698 · Aviso do Fabricante
• https://t.me/cvenotify/19931 · Publicação no Telegram
• https://t.me/cibsecurity/27401 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2021-339 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-h6r2-pgvx-683c · Aviso do Fabricante