PT-2021-22447 · Ghost · Ghost

Aden Yap Chuen Zhen + 1 · Publicado 2021-07-22 · Atualizado 2024-03-06 · CVE-2021-39192

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Ghost 4.0.0 a 4.9.4

Descrição

Um erro na implementação do serviço de limites permite que todos os usuários autenticados, incluindo colaboradores, visualizem chaves de API de nível administrativo por meio do “ponto de extremidade da API de integrações”, levando a um problema de escalonamento de privilégios. Isso permite o acesso não autorizado a informações confidenciais. É altamente recomendável regenerar todas as chaves de API após a aplicação do patch ou da solução alternativa.

Recomendações

Para as versões 4.0.0 a 4.9.4 do Ghost, atualize para a versão 4.10.0 o mais rápido possível.

Como solução alternativa temporária, considere desativar todas as contas que não sejam de administrador para impedir o acesso à API.

Após aplicar o patch ou a solução alternativa, gere novamente todas as chaves de API para garantir a segurança.

Correção

Improper Privilege Management

Information Disclosure

Enumeração de Fraquezas

CWE-269

CWE-200

Identificadores relacionados

BIT-GHOST-2021-39192

CVE-2021-39192

GHSA-J5C2-HM46-WP5C

Produtos afetados

Ghost

Referências · 9

• https://github.com/TryGhost/Ghost · Nota
• https://github.com/TryGhost/Ghost/security/advisories/GHSA-j5c2-hm46-wp5c · Nota
• https://github.com/TryGhost/Ghost/releases/tag/v4.10.0 · Nota
• https://t.me/cibsecurity/28262 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-ghost-2021-39192 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j5c2-hm46-wp5c · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-39192 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-39192 · Aviso do Fabricante
• https://t.me/cvenotify/20644 · Publicação no Telegram