PT-2024-23859 · Webhood+1 · Webhood+1
Markusleh
·
Publicado
2024-04-05
·
Atualizado
2024-04-08
·
CVE-2024-31218
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Webhood versões 0.9.0 e anteriores
Descrição
O Webhood é um verificador de URLs auto-hospedado utilizado para analisar sites de phishing e maliciosos. A vulnerabilidade permite que um invasor não autenticado envie uma solicitação HTTP à API de administração do banco de dados (Pocketbase) para criar uma conta de administrador. Isso é possível porque a API de administração do Pocketbase não verifica a autenticação/autorização ao criar uma conta de administrador se nenhuma conta de administrador tiver sido adicionada. Em sua implantação padrão, o Webhood não cria uma conta de administrador no banco de dados, tornando a implantação vulnerável, a menos que os usuários tenham criado manualmente uma conta de administrador.
Recomendações
Para as versões 0.9.0 e anteriores, atualize para a versão 0.9.1 ou posterior, que cria uma conta de administrador gerada aleatoriamente caso ainda não tenham sido criadas contas de administrador, corrigindo assim a vulnerabilidade.
Como solução alternativa temporária para as versões 0.9.0 e anteriores, considere desativar totalmente o acesso ao caminho de URL que começa com
/api/admins para impedir a exploração via rede.Exploit
Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Pocketbase
Webhood