PT-2024-18910 · Caddy · Caddy
David Pokora
+2
·
Publicado
2024-02-16
·
Atualizado
2024-06-28
·
CVE-2024-21494
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
github.com/greenpau/caddy-security – todas as versões
Descrição
A vulnerabilidade está relacionada à sanitização inadequada de entradas, permitindo a evasão da autenticação por falsificação (spoofing) por meio do cabeçalho X-Forwarded-For. Um invasor pode falsificar um endereço IP utilizado no módulo de identidade do usuário, visando especificamente o endpoint da API /whoami. Isso pode levar a acesso não autorizado se o sistema confiar no endereço IP falsificado.
Recomendações
Como solução temporária, considere desativar o uso do cabeçalho X-Forwarded-For no módulo de identidade do usuário até que uma correção esteja disponível.
Restrinja o acesso ao endpoint da API /whoami para minimizar o risco de exploração.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
XSS
Authentication Bypass by Spoofing
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Caddy