CVE-2022-31007

Résumé

eLabFTW est un gestionnaire de cahier de laboratoire électronique pour les équipes de recherche. Avant la version 4.3.0, une vulnérabilité permettait à un utilisateur authentifié disposant d'un rôle d'administrateur dans une équipe de s'attribuer des privilèges d'administrateur système au sein de l'application, ou de créer un nouveau compte d'administrateur système. Le problème a été corrigé dans la version 4.3.0 d'eLabFTW. Dans le contexte d'eLabFTW, un administrateur est un compte utilisateur disposant de certains privilèges pour gérer les utilisateurs et le contenu de son/ses équipe(s) assignée(s). Un compte d'administrateur système peut gérer tous les comptes, les équipes et modifier les paramètres à l'échelle du système au sein de l'application. L'impact n'est pas considéré comme élevé, car il nécessite que l'attaquant ait accès à un compte administrateur. Les comptes d'utilisateurs ordinaires ne peuvent pas exploiter cette vulnérabilité pour obtenir des droits d'administration. Une solution de contournement pour l'un des problèmes consiste à supprimer la capacité des administrateurs à créer des comptes.

• CVE-2022-31007-Python-POCExploit

  elabFTW < 4.1.0 - contournement du verrouillage de compte et force brute de connexion