CVE-2021-29487
Bypass de autenticación en Octobercms
- Publicado
- 26 ago 2021
- Actualizado
- 3 ago 2024
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 25 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:NBajo · próximos 30 días
- Percentil
- 57,5 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
octobercms en una plataforma CMS basada en el framework PHP Laravel. En las versiones afectadas del paquete october/system un atacante puede explotar esta vulnerabilidad para omitir la autenticación y hacerse con una cuenta de usuario en un servidor de October CMS. La vulnerabilidad puede ser explotada por usuarios no autenticados por medio de una petición especialmente diseñada. Esto sólo afecta a usuarios del frontend y el atacante debe obtener una clave secreta de Laravel para el cifrado y la firma de cookies con el fin de explotar esta vulnerabilidad. El problema ha sido parcheado en el Build 472 y en la versión v1.1.5.
Fuentes
1- CVE-2021-32648Parche
Proporciona un parche manual para las vulnerabilidades de omisión de autenticación de October CMS CVE-2021-32648 y CVE-2021-29487 convirtiendo las comparaciones laxas en estrictas en User.php.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.