CVE-2022-1631

Résumé

Users Account Pre-Takeover ou prise de contrôle du compte utilisateur. dans le dépôt GitHub microweber/microweber avant la version 1.2.15. Prise de contrôle du compte victime. Étant donné qu’il n’y a pas de confirmation par e-mail, un attaquant peut facilement créer un compte dans l’application en utilisant l’e-mail de la victime. Cela permet à un attaquant d’obtenir un pré-authentification sur le compte de la victime. De plus, en raison de l’absence de validation adéquate de l’e-mail provenant de la connexion sociale et de l’absence de vérification de l’existence d’un compte déjà présent, la victime ne détectera pas si un compte existe déjà. Par conséquent, la persistance de l’attaquant restera en place. Un attaquant serait en mesure de voir toutes les activités effectuées par l’utilisateur victime, ce qui impacte la confidentialité, et de tenter de modifier/corrompre les données, ce qui impacte l’intégrité et la disponibilité. Cette attaque devient plus intéressante lorsqu’un attaquant peut enregistrer un compte à partir de l’adresse e-mail d’un employé. En supposant que l’organisation utilise G-Suite, le détournement du compte d’un employé a un impact bien plus important.

• Microweber CMS 1.2.15 - Account TakeoverExploit

  Manojkumar J · php · 3 juin 2022