PT-2024-25676 · Strapi · @Strapi/Plugin-Users-Permissions

Iarce-Qb

·

Publicado

2024-06-12

·

Atualizado

2024-09-26

·

CVE-2024-34065

CVSS v3.1

7.1

Alta

VetorAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do @strapi/plugin-users-permissions anteriores à 4.24.2
Descrição
O problema decorre da combinação de duas vulnerabilidades no @strapi/plugin-users-permissions: um redirecionamento aberto (Open Redirect) e um token de sessão enviado como parâmetro de consulta de URL. Isso permite que um invasor não autenticado contorne os mecanismos de autenticação e obtenha tokens de terceiros. O ataque requer interação do usuário, especificamente um clique. Ao explorar essas vulnerabilidades, os invasores podem aproveitá-las para obter um token de terceiros e contornar a autenticação dos aplicativos Strapi.
Detalhes técnicos:
  • Endpoints da API: O endpoint vulnerável é /api/connect/microsoft, onde o parâmetro callback pode ser manipulado.
  • Parâmetros ou variáveis vulneráveis: O parâmetro callback na consulta da URL é vulnerável, permitindo que um invasor redirecione usuários para um domínio externo arbitrário.
  • Nomes de funções: A função callback no arquivo auth.js está envolvida na vulnerabilidade.
Recomendações
  • Atualize o @strapi/plugin-users-permissions para a versão 4.24.2 para receber uma correção.
  • Como solução temporária, considere restringir o acesso ao endpoint /api/connect/microsoft para minimizar o risco de exploração.
  • Evite usar o parâmetro callback no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

Open Redirect

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-294CWE-601

Identificadores relacionados

CVE-2024-34065
GHSA-WRVH-RCMR-9QFC

Produtos afetados

@Strapi/Plugin-Users-Permissions