PT-2021-21371 · Laravel+1 · Laravel+1
Daniel Coulbourne
+1
·
Publicado
2021-08-04
·
Atualizado
2021-09-01
·
CVE-2021-36804
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Akaunting versões 2.1.12 e anteriores
Descrição
A falha permite que um invasor encaminhe solicitações de redefinição de senha por meio de uma instância do Akaunting em execução, caso conheça o endereço de e-mail do alvo. Isso é causado pelas configurações padrão fornecidas pela estrutura Laravel, especificamente pela forma como os cabeçalhos de proxy são tratados em relação a implementações multilocatárias. Embora tecnicamente não se trate de uma vulnerabilidade no Laravel, a configuração padrão pode levar a vulnerabilidades semelhantes em projetos Laravel que implementam aplicativos multilocatários.
Recomendações
Para as versões 2.1.12 e anteriores do Akaunting, atualize para a versão 2.1.13 para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de redefinição de senha até que a atualização seja aplicada. Além disso, revise e ajuste a configuração dos cabeçalhos de proxy em implementações multilocatárias para evitar problemas semelhantes.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Akaunting
Laravel