PT-2022-25180 · Wbce Cms · Wbce Cms

Mrbaseman · Publicado 2022-11-15 · Atualizado 2022-11-18 · CVE-2022-4006

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

WBCE CMS (versões afetadas não especificadas)

Descrição

Foi detectada uma falha no WBCE CMS, afetando a função increase attempts do arquivo wbce/framework/class.login.php do componente Header Handler. A manipulação do argumento X-Forwarded-For leva a uma restrição inadequada de tentativas excessivas de autenticação. O ataque pode ser lançado remotamente.

Recomendações

Para corrigir este problema, recomenda-se aplicar um patch com o nome d394ba39a7bfeb31eda797b6195fd90ef74b2e75. Como solução temporária, considere desativar a função increase attempts até que um patch esteja disponível. Restrinja o acesso ao arquivo wbce/framework/class.login.php para minimizar o risco de exploração. Evite usar o argumento X-Forwarded-For no componente afetado até que o problema seja resolvido.

Exploit

Correção

Improper Restriction of Excessive Authentication Attempts

Resource Exhaustion

Enumeração de Fraquezas

CWE-307

CWE-400

Identificadores relacionados

CVE-2022-4006

Produtos afetados

Wbce Cms

Referências · 7

• 🔥 https://github.com/WBCE/WBCE_CMS/issues/524 · Exploit
• https://github.com/wbce/wbce_cms/commit/d394ba39a7bfeb31eda797b6195fd90ef74b2e75 · Correção
• https://t.me/cvenotify/38081 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-4006 · Nota de Segurança
• https://t.me/cvenotify/37825 · Publicação no Telegram
• https://vuldb.com/?id.213716 · Nota
• https://osv.dev/vulnerability/CVE-2022-4006 · Aviso do Fabricante