PT-2021-18249 · October · October/System
Alexander Sidukov
+4
·
Publicado
2021-08-26
·
Atualizado
2022-08-02
·
CVE-2021-29487
CVSS v3.1
7.4
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
**Nome do software vulnerável e versões afetadas:
Versões do pacote october/system anteriores à v1.1.5
Versões do pacote october/system anteriores à Build 472
Descrição:
A vulnerabilidade permite que um invasor contorne a autenticação e assuma o controle de uma conta de usuário em um servidor October CMS. Isso pode ser explorado por usuários não autenticados por meio de uma solicitação especialmente criada, afetando apenas usuários do front-end. Para explorar essa vulnerabilidade, o invasor deve obter uma chave secreta do Laravel para criptografia e assinatura de cookies.
Recomendações:
Para versões anteriores à v1.1.5, atualize para a v1.1.5 ou posterior para resolver o problema.
Para versões anteriores à Build 472, atualize para a Build 472 ou posterior para resolver o problema.
Como solução temporária, considere restringir o acesso a áreas confidenciais do servidor October CMS até que o problema seja resolvido.
Evite usar o pacote vulnerável
october/system até que o problema seja resolvido.Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
October/System