PT-2022-21645 · Unknown · Microweber

Phoenix · Publicado 2022-11-22 · Atualizado 2022-11-28 · CVE-2022-33012

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Microweber versão 1.2.15

Descrição

A vulnerabilidade permite que invasores assumam o controle de contas por meio de um ataque de injeção no cabeçalho do host. Isso possibilita o acesso não autorizado a contas de usuários, podendo levar a vazamentos de dados ou outras atividades maliciosas.

Recomendações

Para a versão 1.2.15 do Microweber, atualize para uma versão mais recente que contenha uma correção para este problema. Como solução temporária, considere restringir o acesso a configurações confidenciais da conta para minimizar o risco de exploração.

Exploit

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

CVE-2022-33012

GHSA-RP7F-FHM8-9HPF

Produtos afetados

Microweber

Referências · 8

• 🔥 https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Account%20Takeover#account-takeover-through-password-reset-poisoning · Exploit
• 🔥 https://blog.jitendrapatro.me/cve-2022-33012-account-takeover-through-password-reset-poisoning · Exploit
• https://github.com/microweber/microweber · Nota
• https://osv.dev/vulnerability/GHSA-rp7f-fhm8-9hpf · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-33012 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-33012 · Aviso do Fabricante
• https://pethuraj.com/blog/how-i-earned-800-for-host-header-injection-vulnerability · Nota
• https://t.me/cibsecurity/53335 · Publicação no Telegram