CVE-2023-41508

CVE-2023-41508 - Жёстко заданный пароль в Super Store Finder v3.6 позволяет злоумышленникам получить доступ к панели администрирования.

Тип уязвимости

Некорректный контроль доступа

Вендор продукта

Super Store Finder

Затронутая кодовая база продукта

Super Store Finder - Затронута версия 3.6 или ниже. Исправлено в версии 3.7

Вектор CVSS v3.1 (базовая оценка)

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (10.0)

Затронутый компонент

Затронутая веб-консоль администратора

Тип атаки

Удалённая

Воздействие: отказ в обслуживании

Да

Воздействие: повышение привилегий

Да

Воздействие: выполнение кода

Да

Векторы атаки

Пароль администратора по умолчанию (admin/password) жёстко задан в коде, что сводит на нет смысл аутентификации. Кроме того, имя пользователя и пароль администратора по умолчанию невозможно изменить.

Скриншот жёстко заданного пароля (admin/password)

Скриншот Proof-of-Concept для внедрения сохранённого межсайтового скриптинга (XSS) из-за отсутствия проверки ввода в панели администратора

Скриншот Proof-of-Concept для запуска сохранённого межсайтового скриптинга (XSS)

Примечания к патчу

https://superstorefinder.net/support/forums/topic/super-store-finder-patch-notes/