PT-2022-10515 · Unknown · Veryfitpro
Martinfrancois
·
Publicado
2022-04-25
·
Atualizado
2024-02-14
·
CVE-2021-36460
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
VeryFitPro versão 3.2.8
Descrição
A vulnerabilidade permite que um invasor que possua uma senha com hash assuma o controle da conta de um usuário. Isso ocorre porque a senha é hashada localmente no dispositivo e o hash é utilizado para autenticação com a API de back-end, incluindo para login, cadastro e alterações de senha. Isso torna inúteis os benefícios de armazenar senhas com hash no banco de dados.
Recomendações
Para a versão 3.2.8, considere desativar o mecanismo local de hash de senhas até que um patch esteja disponível e restrinja o acesso à API de back-end para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Veryfitpro