CVE-2022-46164

NodeBB — przejęcie konta przez prototype pollution w socket.io

CVSS 9.4v3.1pub. 2022-12-05upd. 2024-11-21

Podatność w NodeBB umożliwia nieuwierzytelnionemu atakującemu podszywanie się pod innych użytkowników i przejęcie ich kont. Krytyczny poziom zagrożenia wynika z braku wymagań co do uwierzytelnienia lub interakcji ofiary.

▸ Pokaż oryginał (EN)

NodeBB is an open source Node.js based forum software. Due to a plain object with a prototype being used in socket.io message handling a specially crafted payload can be used to impersonate other users and takeover accounts. This vulnerability has been patched in version 2.6.1. Users are advised to upgrade. Users unable to upgrade may cherry-pick commit `48d143921753914da45926cca6370a92ed0c46b8` into their codebase to patch the exploit.

🤖 Analiza AI

Jak działa

W obsłudze wiadomości socket.io aplikacja używa zwykłego obiektu JavaScript posiadającego prototyp (plain object with a prototype). Specjalnie spreparowany payload wysłany przez atakującego może wykorzystać mechanizm prototype pollution (CWE-665 — niewłaściwa inicjalizacja zasobu), aby manipulować wewnętrznym stanem aplikacji. W efekcie możliwe jest sfałszowanie tożsamości innego użytkownika bez znajomości jego hasła.

Skutki

Atakujący może podszyć się pod dowolnego użytkownika forum, w tym administratora, i całkowicie przejąć jego konto, uzyskując pełny dostęp do jego danych i uprawnień.

Mitygacja

Należy zaktualizować NodeBB do wersji 2.6.1 lub nowszej. Użytkownicy, którzy nie mogą przeprowadzić aktualizacji, powinni ręcznie zastosować commit `48d143921753914da45926cca6370a92ed0c46b8` do swojej bazy kodu.