PT-2024-13877 · Avideo · Avideo

Claudio Bozzato · Publicado 2024-01-10 · Atualizado 2024-01-18 · CVE-2023-50172

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

WWBN AVideo dev master commit 15fed957fb

Descrição

Existe uma falha que permite contornar a notificação de recuperação na funcionalidade de validação de captcha do arquivo userRecoverPass.php. Isso permite que uma solicitação HTTP especialmente criada gere silenciosamente um código de recuperação para qualquer usuário.

Recomendações

Como solução temporária, considere desativar a funcionalidade de validação de captcha no arquivo userRecoverPass.php até que um patch esteja disponível. Restrinja o acesso ao arquivo userRecoverPass.php para minimizar o risco de exploração. Evite usar a funcionalidade de código de recuperação na versão afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-640

Identificadores relacionados

CVE-2023-50172

GHSA-8M5F-2XVP-2C8W

Produtos afetados

Avideo

Referências · 9

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2023-1897 · Exploit
• https://github.com/WWBN/AVideo · Nota
• https://github.com/WWBN/AVideo/commit/15fed957fb64b4055158acfc449bd7974346edb5 · Nota
• https://t.me/cvenotify/67285 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1745111411863253366 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-8m5f-2xvp-2c8w · Aviso do Fabricante
• https://t.me/cvenotify/67844 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-50172 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2023-50172 · Aviso do Fabricante