CVE-2023-0299

Krytyczna podatność Improper Input Validation w Publify (przed 9.2.10)

CVSS 9.8v3.1pub. 2023-01-14upd. 2024-11-21

W aplikacji Publify (silnik blogowy oparty na Ruby on Rails) wykryto krytyczną podatność związaną z nieprawidłową walidacją danych wejściowych (CWE-20). Ze względu na wynik CVSS 9.8 i brak wymagań uwierzytelnienia, podatność stanowi poważne zagrożenie dla każdej publicznie dostępnej instancji.

▸ Pokaż oryginał (EN)

Improper Input Validation in GitHub repository publify/publify prior to 9.2.10.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji danych dostarczanych przez użytkownika w repozytorium publify/publify przed wersją 9.2.10. Atakujący może dostarczyć spreparowane dane wejściowe, które nie są odpowiednio sprawdzane ani odrzucane przez aplikację. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji ze strony użytkownika, co znacząco obniża próg wejścia dla potencjalnego napastnika.

Skutki

Skuteczne wykorzystanie podatności może pozwolić atakującemu na naruszenie poufności, integralności oraz dostępności systemu w pełnym zakresie. Dokładny charakter możliwych działań (np. RCE, SQL injection) nie jest sprecyzowany w opisie, jednak maksymalny wynik CVSS wskazuje na możliwość całkowitego przejęcia kontroli nad aplikacją.

Mitygacja

Należy niezwłocznie zaktualizować Publify do wersji 9.2.10 lub nowszej. Poprawka dostępna jest w repozytorium GitHub pod adresem: https://github.com/publify/publify/commit/ca46da283572b4f8c0b5aa245008756c8a5fd1b1

Kogo dotyczy

Publify (projekt publify/publify) we wszystkich wersjach przed 9.2.10

Uwagi

Szczegóły techniczne podatności zostały ujawnione za pośrednictwem platformy huntr.dev (program bug bounty). Commit naprawczy jest publicznie dostępny w repozytorium GitHub projektu Publify.