PT-2024-13804 · Wwbn · Avideo

Claudio Bozzato · Publicado 2024-01-10 · Atualizado 2024-01-17 · CVE-2023-49810

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

WWBN AVideo dev master commit 15fed957fb

Descrição

Existe uma falha na funcionalidade checkLoginAttempts que permite contornar a restrição de tentativas de login. Isso pode ser desencadeado por uma solicitação HTTP especialmente criada, levando ao contorno do captcha. Um invasor pode explorar essa falha para realizar um ataque de força bruta contra as credenciais do usuário, enviando uma série de solicitações HTTP.

Recomendações

Para o WWBN AVideo dev master commit 15fed957fb, como solução temporária, considere desativar a funcionalidade checkLoginAttempts até que um patch esteja disponível. Restrinja o acesso à funcionalidade de login para minimizar o risco de exploração. Evite usar o recurso de login na versão afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Restriction of Excessive Authentication Attempts

Enumeração de Fraquezas

CWE-307

Identificadores relacionados

CVE-2023-49810

GHSA-V977-H4HM-RRFF

Produtos afetados

Avideo

Referências · 8

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2023-1898 · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/15fed957fb64b4055158acfc449bd7974346edb5 · Nota
• https://twitter.com/VulmonFeeds/status/1745135357308330490 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-49810 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1745111412811219292 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2023-49810 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-v977-h4hm-rrff · Aviso do Fabricante