PT-2024-22328 · Unknown · Yourspotify

Ragingcactus · Publicado 2024-03-13 · Atualizado 2024-03-14 · CVE-2024-28194

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do YourSpotify anteriores à 1.8.0

Descrição

O problema diz respeito ao uso de um segredo JSON Web Token (JWT) codificado de forma rígida nos tokens de autenticação. Isso permite que invasores forjem tokens de autenticação válidos para qualquer usuário, contornando efetivamente a autenticação e, potencialmente, autenticando-se como usuários administradores.

Recomendações

Para versões anteriores à 1.8.0, atualize para a versão 1.8.0 para resolver o problema. Como solução temporária, considere restringir o acesso a recursos confidenciais até que a atualização seja aplicada.

Exploit

Correção

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-798

Identificadores relacionados

CVE-2024-28194

GHSA-GVCR-G265-J827

Produtos afetados

Yourspotify

Referências · 5

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/28xxx/CVE-2024-28194.json · Exploit
• https://github.com/Yooooomi/your_spotify/security/advisories/GHSA-gvcr-g265-j827 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-28194 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-28194 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1767987147477303418 · Publicação no Twitter