PT-2022-23123 · Pypi · Py-Cord

Bobdotcom + 1 · Publicado 2022-08-18 · Atualizado 2022-12-09 · CVE-2022-36024

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

py-cord versão 2.0.0

Descrição

O problema afeta o py-cord, um wrapper de API Python para o Discord, permitindo o desligamento remoto de bots caso sejam adicionados a um servidor com o escopo application.commands sem o escopo bot. Parece que todos os bots públicos que utilizam comandos com barra são afetados.

Recomendações

Para a versão 2.0.0, atualize para a versão 2.0.1 para resolver o problema.

Como solução alternativa temporária, considere evitar a adição de bots a servidores com o escopo application.commands sem o escopo bot até que um patch seja aplicado.

Atualmente, não há outras soluções alternativas recomendadas.

Exploit

Correção

Improper Access Control

Missing Authorization

Enumeração de Fraquezas

CWE-284

CWE-862

Identificadores relacionados

CVE-2022-36024

GHSA-QMHJ-M29V-GVMR

PYSEC-2022-43146

Produtos afetados

Py-Cord

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/36xxx/CVE-2022-36024.json · Exploit
• https://github.com/Pycord-Development/pycord/security/advisories/GHSA-qmhj-m29v-gvmr · Nota
• https://github.com/Pycord-Development/pycord/pull/1568 · Correção
• https://github.com/Pycord-Development/pycord · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/py-cord/PYSEC-2022-43146.yaml · Nota
• https://t.me/cibsecurity/48358 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-36024 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2022-43146 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qmhj-m29v-gvmr · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-36024 · Aviso do Fabricante