CVE-2024-11318

सारांश

AbsysNet में एक IDOR (असुरक्षित प्रत्यक्ष वस्तु संदर्भ) भेद्यता खोजी गई है, जो संस्करण 2.3.1 को प्रभावित करती है। यह भेद्यता किसी दूरस्थ हमलावर को "/cgi-bin/ocap/" एंडपॉइंट पर सत्र पहचानकर्ता पर ब्रूट-फोर्स हमला करके एक अप्रमाणित उपयोगकर्ता का सत्र प्राप्त करने की अनुमति दे सकती है।

स्रोत

• CVE-2024-11318एक्सप्लॉइट

  यह रिपॉजिटरी AbsysNet 2.3.1 में एक IDOR भेद्यता का विवरण देता है, जो एक दूरस्थ हमलावर को /cgi-bin/ocap/ एंडपॉइंट के माध्यम से सत्र आईडी को ब्रूट-फोर्स करने की अनुमति देता है। सफल शोषण सक्रिय उपयोगकर्ता सत्रों से समझौता कर सकता है, HTML में प्रमाणीकरण टोकन उजागर कर सकता है। हमला सक्रिय सत्रों तक सीमित है और यदि उपयोगकर्ता लॉग आउट करता है तो समाप्त हो जाता है।