CVE-2023-49443

DoraCMS – podatność na atak brute-force przez ponowne użycie kodu weryfikacyjnego

CVSS 9.8v3.1pub. 2023-12-08upd. 2024-11-21

DoraCMS v2.1.8 wykorzystuje ten sam kod weryfikacyjny dla walidacji nazw użytkowników i haseł, co umożliwia przeprowadzenie skutecznego ataku brute-force. Brak odpowiednich mechanizmów ograniczających liczbę prób logowania pozwala atakującemu na nieuprawniony dostęp do aplikacji.

▸ Pokaż oryginał (EN)

DoraCMS v2.1.8 was discovered to re-use the same code for verification of valid usernames and passwords. This vulnerability allows attackers to gain access to the application via a bruteforce attack.

🤖 Analiza AI

Jak działa

Aplikacja DoraCMS v2.1.8 ponownie używa tego samego kodu weryfikacyjnego podczas sprawdzania poprawności nazwy użytkownika i hasła, zamiast generować nowy kod przy każdej próbie logowania. Mechanizm ten (CWE-307 – brak ograniczeń na nadmierne próby uwierzytelnienia) umożliwia atakującemu wielokrotne próby logowania bez unieważnienia kodu weryfikacyjnego. W efekcie możliwe jest automatyczne, masowe testowanie kombinacji danych uwierzytelniających metodą brute-force.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do konta użytkownika lub administratora aplikacji, co potencjalnie skutkuje pełnym przejęciem kontroli nad systemem oraz naruszeniem poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie mechanizmów ograniczających liczbę prób logowania (np. blokada konta po określonej liczbie nieudanych prób, CAPTCHA, rate limiting) oraz wymuszenie generowania nowego kodu weryfikacyjnego po każdej próbie uwierzytelnienia.

Kogo dotyczy

DoraCMS v2.1.8

Uwagi

Podatność została ujawniona publicznie wraz z repozytorium proof-of-concept na platformie GitHub (https://github.com/woshinibaba222/DoraCMS-Verification-Code-Reuse).