missing0x00/cve-2020-26061CVE-2020-26061 - ClickStudios Passwordstate Portale di reimpostazione password
Fornitore: ClickStudios
Prodotto: Passwordstate
Versioni interessate: Prima della build 8501 della versione 8.5
Ricercatore: Jason Juntunen aka @missing0x00 (https://github.com/missing0x00)
ClickStudios Passwordstate Password Reset Portal precedente alla build 8501 della versione 8.5 è affetto da una vulnerabilità di bypass dell'autenticazione. La funzione ResetPassword non verifica se l'utente ha autenticato correttamente tramite le domande di sicurezza. Un attaccante remoto non autenticato può inviare una richiesta HTTP appositamente predisposta alla pagina /account/ResetPassword per impostare una nuova password per qualsiasi utente registrato.
https://github.com/missing0x00/CVE-2020-26061/blob/main/CVE-2020-26061.py
Aggiornare il software su tutti i dispositivi interessati. Questa vulnerabilità è stata corretta nella versione 8.5 - Build 8501 (12 ottobre 2018).
Link del fornitore: https://www.clickstudios.com.au/passwordstate-changelog.aspx
Link di divulgazione: https://github.com/missing0x00/CVE-2020-26061
Link NIST CVE: https://nvd.nist.gov/vuln/detail/CVE-2020-26061
Le informazioni contenute in questo advisory sono fornite "così come sono" senza garanzie o assicurazioni di idoneità all'uso o altro. Con la presente è concessa l'autorizzazione alla ridistribuzione di questo advisory, a condizione che non venga alterato se non riformattandolo e che venga dato il giusto credito. È esplicitamente consentita l'inserzione in database di vulnerabilità e simili, a condizione che venga dato il giusto credito all'autore. L'autore non è responsabile per qualsiasi uso improprio delle informazioni qui contenute e non accetta alcuna responsabilità per i danni causati dall'uso o dall'abuso di queste informazioni. L'autore vieta qualsiasi uso malevolo delle informazioni relative alla sicurezza o degli exploit da parte dell'autore o di terzi.
missingnull
