PT-2024-14035 · Appwrite · Appwrite Cli

CVE-2023-50974 · Publicado 2024-01-09 · Atualizado 2024-01-12

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.8

Média

Vetor base

AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Appwrite CLI anteriores à 3.0.0

Descrição

O problema ocorre ao usar o comando login no Appwrite CLI, onde as credenciais do usuário do Appwrite são armazenadas no arquivo ~/.appwrite/prefs.json com permissões UNIX 0644. Isso permite que qualquer usuário do sistema local acesse essas credenciais.

Recomendações

Para versões anteriores à 3.0.0, atualize para a versão 3.0.0 ou posterior para resolver o problema. Como solução temporária, considere alterar as permissões do arquivo ~/.appwrite/prefs.json para configurações mais restritivas, a fim de minimizar o acesso às credenciais.

Exploit

Correção

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-798

Identificadores relacionados

CVE-2023-50974

GHSA-G777-CRP9-M27G

PYSEC-2024-2

Produtos afetados

Appwrite Cli

Referências · 11

• 🔥 https://gist.github.com/SkypLabs/72ee00ecfa7d1a3494e2d69a24279c1d · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/appwrite/PYSEC-2024-2.yaml · Nota
• https://github.com/appwrite/sdk-for-cli · Nota
• https://twitter.com/CVEnew/status/1744643262592299447 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2023-50974 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2023-50974 · Aviso do Fabricante
• https://appwrite.io/docs/tooling/command-line/installation · Nota
• https://osv.dev/vulnerability/GHSA-g777-crp9-m27g · Aviso do Fabricante
• https://t.me/cvenotify/67306 · Publicação no Telegram
• https://t.me/cvenotify/66727 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2024-2 · Aviso do Fabricante