CVE-2023-27524

• CVE-2023-27524

---

** الوصف - إثبات المفهوم لـ CVE-2023-27524: ثغرة تجاوز المصادقة في Apache Superset. - تم الإنشاء بواسطة antx في 2023-04-27.

** التفاصيل - هجمات التحقق من الجلسة في Apache Superset حتى الإصدار 2.0.1 وما يشمل ذلك. التثبيتات التي لم تُغيّر SECRET_KEY الافتراضية المُهيأة وفقًا لتعليمات التثبيت تسمح للمهاجم بالمصادقة والوصول إلى موارد غير مصرح بها. لا يؤثر هذا على مسؤولي Superset الذين غيّروا القيمة الافتراضية لإعداد SECRET_KEY.

** خطورة CVE - attackComplexity: HIGH - attackVector: NETWORK - availabilityImpact: LOW - confidentialityImpact: HIGH - integrityImpact: HIGH - privilegesRequired: NONE - scope: CHANGED - userInteraction: NONE - version: 3.1 - baseScore: 8.9 - baseSeverity: HIGH

** الإصدارات المتأثرة - Apache Superset - <= 2.0.1

** POC - [[./CVE-2023-27524.py][Poc]]

** التصحيح - [[https://github.com/apache/superset/releases][تصحيح المورّد]]

** المراجع - المصدر المرجعي - [[https://twitter.com/momika233/status/1651276901821067265]] - [[https://github.com/projectdiscovery/nuclei-templates/pull/7125/commits/9e38e8cffb068786bb87d5629cb468960968ff81][إنشاء CVE-2023-27524.yaml #7125]] - CVE - [[http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-27524][CVE-2023-27524]] - NVD - [[https://nvd.nist.gov/vuln/detail/CVE-2023-27524][CVE-2023-27524]] - المحرك المرجعي لإثبات المفهوم - [[https://github.com/antx-code/pocx][pocx]]