CVE-2024-50672
Una vulnerabilità di iniezione NoSQL in Adapt Learning Adapt Authoring Tool <= 0.11.3 consente ad attaccanti non autenticati di reimpostare le password...
- Pubblicato
- 25 nov 2024
- Aggiornato
- 27 nov 2024
- Assegnazione CNA
- mitre
- Evidenza osservata
- 15 apr 2025
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 74,9%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Una vulnerabilità di iniezione NoSQL in Adapt Learning Adapt Authoring Tool <= 0.11.3 consente ad attaccanti non autenticati di reimpostare le password degli account utente e amministratore tramite la funzionalità "Reset password". La vulnerabilità è dovuta a una validazione insufficiente dell'input utente, che viene utilizzato come query nella funzione find() di Mongoose. Ciò rende possibile per gli attaccanti eseguire una compromissione totale dell'account amministratore. Gli attaccanti possono quindi utilizzare i privilegi amministrativi appena acquisiti per caricare un plugin personalizzato ed eseguire codice in remoto (RCE) sul server che ospita l'applicazione web.
Fonti
Eui Chul Chung · multiple · 15 apr 2025
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.