PT-2024-29621 · Apache · Apache Answer

Mohammad Reza Omrani · Publicado 2024-08-09 · Atualizado 2024-08-29 · CVE-2024-41890

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Apache Answer até a 1.3.5

Descrição

A vulnerabilidade afeta o Apache Answer, onde um usuário pode enviar vários e-mails de redefinição de senha, cada um contendo um link válido. Dentro do período de validade do link, isso poderia potencialmente levar ao uso indevido ou ao sequestro do link.

Recomendações

Para versões até a 1.3.5, atualize para a versão 1.3.6 para corrigir o problema.

Correção

Missing Release of Resource after Effective Lifetime

Enumeração de Fraquezas

CWE-772

Identificadores relacionados

CVE-2024-41890

GHSA-GVPV-R32V-9737

GO-2024-3064

Produtos afetados

Apache Answer

Referências · 9

• https://github.com/apache/incubator-answer/commit/2820efc454f5808974dce0aa99aac106be3f727b · Nota
• https://lists.apache.org/thread/j7c080xj31x8rvz1pyk2h47rdd9pwbv9 · Aviso do Fabricante
• https://t.me/cvenotify/92647 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2024/08/09/4 · Nota
• https://osv.dev/vulnerability/GO-2024-3064 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-41890 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-41890 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-gvpv-r32v-9737 · Aviso do Fabricante
• https://github.com/advisories/GHSA-gvpv-r32v-9737 · Nota