PT-2021-23151 · Unknown · Pterodactyl

Hdvinnie · Publicado 2021-10-25 · Atualizado 2021-10-28 · CVE-2021-41176

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do Pterodactyl anteriores à 1.6.3

Descrição

Um usuário mal-intencionado pode forçar o logout de um usuário conectado se este visitar um site malicioso que envie uma solicitação ao endpoint de logout do Painel, como “/api/v1/auth/logout”. Isso requer um ataque direcionado contra uma instância específica do Panel e serve apenas para desconectar um usuário. Nenhum dado do usuário é vazado, nem quaisquer dados do usuário são afetados; na pior das hipóteses, trata-se simplesmente de um incômodo.

Recomendações

Para versões anteriores à 1.6.3, atualize para a versão 1.6.3 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint de logout até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2021-41176

GHSA-M49F-HCXP-6HM6

Produtos afetados

Pterodactyl

Referências · 8

• https://github.com/pterodactyl/panel · Nota
• https://github.com/pterodactyl/panel/security/advisories/GHSA-m49f-hcxp-6hm6 · Nota
• https://github.com/pterodactyl/panel/commit/45999ba4ee1b2dcb12b4a2fa2cedfb6b5d66fac2 · Correção
• https://github.com/pterodactyl/panel/releases/tag/v1.6.3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-41176 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41176 · Aviso do Fabricante
• https://t.me/cibsecurity/31162 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-m49f-hcxp-6hm6 · Aviso do Fabricante