PT-2024-30197 · Unknown · Limesurvey

Paoloelia · Publicado 2024-09-03 · Atualizado 2024-09-13 · CVE-2024-42903

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões 6.6.1+240806 e anteriores do LimeSurvey

Descrição

Uma falha de injeção no cabeçalho Host na função de redefinição de senha permite que invasores enviem aos usuários um link de redefinição de senha manipulado que redireciona as vítimas para um domínio malicioso. Isso ocorre porque a função de redefinição de senha não valida corretamente o cabeçalho Host, possibilitando redirecionamentos maliciosos.

Recomendações

Para as versões 6.6.1+240806 e anteriores do LimeSurvey, como solução temporária, considere desativar a função de redefinição de senha até que um patch esteja disponível. Restrinja o acesso ao recurso de redefinição de senha para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

BIT-LIMESURVEY-2024-42903

CVE-2024-42903

Produtos afetados

Limesurvey

Referências · 9

• 🔥 https://github.com/sysentr0py/CVEs/tree/main/CVE-2024-42903 · Exploit
• https://github.com/LimeSurvey/LimeSurvey/pull/3920 · Nota
• https://github.com/LimeSurvey/LimeSurvey/compare/6.6.0+240729...6.6.1+240806 · Correção
• https://osv.dev/vulnerability/CVE-2024-42903 · Aviso do Fabricante
• https://t.me/cvedetector/4705 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-42903 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1831075132409876952 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1831022263350513738 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-limesurvey-2024-42903 · Aviso do Fabricante