PT-2021-20051 · Octobercms · October
Daftspunk
·
Publicado
2021-02-05
·
Atualizado
2021-03-15
·
CVE-2021-3311
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões de outubro anteriores à 1.0.472
Versões de outubro anteriores à 1.1.2
Descrição
Foi descoberta uma falha em que um ID de sessão antigo é reativado assim que ocorre um novo login, violando o comportamento de autenticação pretendido. Essa falha é relevante se um ID de sessão antigo for conhecido por um invasor. Ao sair da sessão, o ID de sessão não era invalidado, o que significa que qualquer pessoa que obtivesse acesso ao cookie da sessão antiga poderia agir como o usuário conectado.
Recomendações
Para versões anteriores à 1.0.472, atualize para a Build 472 ou aplique manualmente o patch disponível em https://github.com/octobercms/library/commit/642f597489e6f644d4bd9a0c267e864cabead024 à sua instalação.
Para versões anteriores à 1.1.2, atualize para a v1.1.2 ou aplique manualmente o patch disponível em https://github.com/octobercms/library/commit/642f597489e6f644d4bd9a0c267e864cabead024 à sua instalação.
Exploit
Correção
Insufficient Session Expiration
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
October