PT-2025-16540 · Unknown · Ashauthentication
Zachdaniel
·
Publicado
2025-04-14
·
Atualizado
2025-04-16
·
CVE-2025-32782
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Ash Authentication anteriores à 4.7.0
Descrição
O fluxo de confirmação para criação de conta no Ash Authentication utiliza uma requisição GET acionada ao clicar em um link enviado via e-mail. Alguns clientes de e-mail e ferramentas de segurança podem seguir automaticamente esses links, confirmando a conta inadvertidamente. Isso permite que um atacante registre uma conta usando o e-mail de outro usuário e, potencialmente, tenha-a confirmada automaticamente pelo cliente de e-mail da vítima. O problema limita-se apenas à confirmação de contas novas e não permite que atacantes assumam o controle ou acessem contas existentes ou dados privados.
Recomendações
Para versões anteriores à 4.7.0, atualize para a versão 4.7.0 para resolver o problema.
Exploit
Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Ashauthentication