CVE-2021-29487

高已发布

Octobercms 中的身份验证绕过

已发布: 2021年8月26日
已更新: 2024年8月3日
分配 CNA: GitHub_M
观察到的证据: 2026年8月25日

初级CVSS

7.4/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

EPSS概率估计

0.9%

低 · 未来 30 天

百分位: 57.5%
型号日期: 2026年9月21日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

octobercms 是一个基于 Laravel PHP 框架的 CMS 平台。在受影响的 october/system 包版本中，攻击者可以利用此漏洞绕过身份验证，并接管 October CMS 服务器上的任意用户账户。未认证用户可通过特制请求利用该漏洞。此漏洞仅影响前端用户，且攻击者必须获取用于 Cookie 加密和签名的 Laravel 密钥才能利用该漏洞。该问题已在 Build 472 和 v1.1.5 版本中修复。

来源

CVE-2021-32648补丁
为 October CMS 身份验证绕过漏洞 CVE-2021-32648 和 CVE-2021-29487 提供手动补丁，通过将 User.php 中的宽松比较转换为严格比较来实现。

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。