CVE-2022-44004

BACKCLICK Professional — pominięcie uwierzytelnienia w resetowaniu hasła

CVSS 9.8v3.1pub. 2022-11-16upd. 2025-04-30

W aplikacji BACKCLICK Professional 5.9.63 istnieje podatność umożliwiająca nieuwierzytelnionemu atakującemu przejęcie dowolnego konta przez samodzielne ukończenie procesu resetowania hasła. Ze względu na brak odpowiedniego uwierzytelnienia podczas tej procedury, zagrożenie ma charakter krytyczny.

▸ Pokaż oryginał (EN)

An issue was discovered in BACKCLICK Professional 5.9.63. Due to insecure design or lack of authentication, unauthenticated attackers can complete the password-reset process for any account and set a new password.

🤖 Analiza AI

Jak działa

Proces resetowania hasła w aplikacji BACKCLICK Professional został zaprojektowany w sposób niezabezpieczony — brakuje w nim mechanizmów weryfikujących tożsamość osoby inicjującej lub kończącej procedurę. Nieuwierzytelniony atakujący jest w stanie samodzielnie przejść przez wszystkie kroki resetowania hasła dla dowolnego konta użytkownika, w tym kont administracyjnych, i ustawić nowe hasło według własnego wyboru. Jest to klasyczny przypadek CWE-640 — słabego lub pominiętego mechanizmu odzyskiwania hasła.

Skutki

Atakujący może przejąć pełną kontrolę nad dowolnym kontem w systemie, łącznie z kontami administracyjnymi, co prowadzi do pełnego naruszenia poufności, integralności i dostępności danych aplikacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie poradników bezpieczeństwa opublikowanych przez SySS GmbH (SYSS-2022-030) oraz niezwłoczne wdrożenie aktualizacji producenta.

Kogo dotyczy

BACKCLICK Professional w wersji 5.9.63

Uwagi

Podatność została odkryta i ujawniona przez SySS GmbH jako część serii doradztw SYSS-2022-026 do SYSS-2022-037 dotyczących wielu podatności w BACKCLICK Professional.