PT-2024-36490 · Unknown · Oqtane Framework

Smitshah1518 · Publicado 2024-12-20 · Atualizado 2024-12-20 · CVE-2024-55186

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

oqtane Framework versão 6.0.0

Descrição

Existe uma vulnerabilidade do tipo IDOR (Insecure Direct Object Reference), que permite que um usuário conectado acesse as mensagens da caixa de entrada de outros usuários manipulando o ID de notificação na URL da solicitação. Ao alterar o ID de notificação, um invasor pode visualizar detalhes confidenciais de e-mails pertencentes a outros usuários.

Recomendações

Para o oqtane Framework versão 6.0.0, considere restringir o acesso ao recurso de mensagens da caixa de entrada até que um patch esteja disponível ou implemente validação adicional para garantir que os usuários só possam acessar suas próprias mensagens da caixa de entrada. Como solução alternativa temporária, evite usar o ID de notificação no endpoint da API afetado até que a vulnerabilidade seja resolvida.

Exploit

Correção

Incorrect Authorization

IDOR

Enumeração de Fraquezas

CWE-863

CWE-639

Identificadores relacionados

CVE-2024-55186

GHSA-2HR5-CVWP-JR5W

Produtos afetados

Oqtane Framework

Referências · 9

• 🔥 https://gist.github.com/SmitShah1518/00de9ecc46c1a8e2b189185c9d92afb0 · Exploit
• https://github.com/oqtane/oqtane.framework/pull/4876/files · Nota
• https://github.com/oqtane/oqtane.framework · Nota
• https://osv.dev/vulnerability/CVE-2024-55186 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-55186 · Nota de Segurança
• https://t.me/cvenotify/105211 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1870129649080250807 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-2hr5-cvwp-jr5w · Aviso do Fabricante
• https://t.me/cvedetector/13447 · Publicação no Telegram