PT-2024-36875 · Craft Cms · Two-Factor Authentication

Fabian Funder + 1 · Publicado 2024-06-06 · Atualizado 2025-09-03 · CVE-2024-5657

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Two-Factor Authentication do CraftCMS, versões 3.3.1 a 3.3.3

Descrição

A vulnerabilidade expõe o hash da senha do usuário atualmente autenticado após o envio de um TOTP válido.

Recomendações

Para as versões 3.3.1 a 3.3.3, considere desativar o plugin Two-Factor Authentication até que uma correção esteja disponível para evitar a divulgação dos hashes de senha.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Information Disclosure

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-200

CWE-522

CWE-499

Identificadores relacionados

CVE-2024-5657

GHSA-3P4X-GRPM-XW58

Produtos afetados

Two-Factor Authentication

Referências · 15

• 🔥 https://github.com/sbaresearch/advisories/tree/public/2024/SBA-ADV-20240202-01_CraftCMS_Plugin_Two-Factor_Authentication_Password_Hash_Disclosure · Exploit
• 🔥 http://openwall.com/lists/oss-security/2024/06/06/1 · Exploit
• https://github.com/born05/craft-twofactorauthentication · Nota
• https://github.com/born05/craft-twofactorauthentication/commit/eb93bcb73037171dae8ca5cfa4c20e7e5748b73a · Nota
• https://github.com/born05/craft-twofactorauthentication/releases/tag/3.3.4 · Nota
• https://t.me/cvenotify/82881 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1798694411057983749 · Publicação no Twitter
• https://t.me/cveNotify/134167 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-5657 · Nota de Segurança
• https://plugins.craftcms.com/two-factor-authentication?craft4 · Nota
• https://osv.dev/vulnerability/CVE-2024-5657 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3p4x-grpm-xw58 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1798668926953611639 · Publicação no Twitter
• https://twitter.com/oss_security/status/1798764907934175497 · Publicação no Twitter
• https://t.me/cvenotify/82164 · Publicação no Telegram