PT-2024-40391 · Packagist · Silverstripe/Framework

Publicado 2024-05-27 · Atualizado 2024-05-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Não há menção a nenhum software ou versão específica na descrição fornecida.

Descrição

O problema ocorre após uma redefinição de senha, quando a função ChangePasswordForm::doChangePassword() efetua o login do usuário sem verificar Member::canLogIn(). Isso representa um problema para sites que utilizam o ponto de extensão nesse método para negar acesso a determinados usuários, como aqueles não aprovados ou com acesso temporariamente revogado. A função Member::canLogIn() foi inicialmente concebida para verificar se há usuários bloqueados devido a múltiplas tentativas de login incorretas, mas foi expandida para outros usos.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

GHSA-P5H2-VR99-XM99

Produtos afetados

Silverstripe/Framework

Referências · 8

• https://github.com/FriendsOfPHP/security-advisories/blob/master/silverstripe/framework/SS-2016-011-1.yaml · Nota
• https://github.com/silverstripe/silverstripe-framework/commit/782c18fd13b9fb92707d0ea3b231023204928297 · Nota
• https://github.com/silverstripe/silverstripe-framework/commit/6d41db77fa78f473db7bcff389456c980ef4e412 · Nota
• https://github.com/silverstripe/silverstripe-framework/commit/2b30ade44d333a4da4d13b31ffa28d0a34597442 · Nota
• https://github.com/silverstripe/silverstripe-framework/commit/6606d986634f5b5dec16462acaa8d9a513c29fec · Nota
• https://github.com/silverstripe/silverstripe-framework · Nota
• https://osv.dev/vulnerability/GHSA-p5h2-vr99-xm99 · Aviso do Fabricante
• https://silverstripe.org/download/security-releases/ss-2016-011 · Nota