PT-2024-23856 · Unknown · Instantcms

Jarnepeelman1 + 1 · Publicado 2024-04-05 · Atualizado 2025-01-17 · CVE-2024-31213

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

InstantCMS versão 2.16.2

Descrição

Foi encontrada uma redirecionamento aberto no aplicativo ICMS2 ao ser redirecionado após a modificação do próprio perfil de usuário. Um invasor poderia induzir uma vítima a visitar seu aplicativo web, fazendo-a acreditar que ainda está no aplicativo ICMS2. Ele poderia então hospedar um site com a mensagem “Para atualizar seu perfil, digite sua senha”, e o usuário poderia digitar sua senha e enviá-la ao invasor.

Recomendações

Como solução temporária, considere restringir o acesso ao recurso de modificação do perfil do usuário até que um patch esteja disponível.

Evite usar a versão afetada do InstantCMS até que uma versão corrigida seja lançada.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2024-31213

GHSA-6V3C-P92Q-PRFQ

Produtos afetados

Instantcms

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/31xxx/CVE-2024-31213.json · Exploit
• 🔥 https://github.com/instantsoft/icms2/security/advisories/GHSA-6v3c-p92q-prfq · Exploit
• https://t.me/cvenotify/107753 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1776303160086208719 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-31213 · Nota de Segurança
• https://twitter.com/CVEnew/status/1776264158822179185 · Publicação no Twitter
• https://t.me/cvenotify/75836 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-31213 · Aviso do Fabricante