CVE-2024-42850

Silverpeas – pomijanie wymagań złożoności hasła przy jego zmianie

CVSS 9.8v3.1pub. 2024-08-16upd. 2026-07-05

Podatność w funkcji zmiany hasła w Silverpeas v6.4.2 i starszych pozwala na ominięcie wymagań dotyczących złożoności hasła. Sklasyfikowana jako CRITICAL (CVSS 9.8), umożliwia atakującemu bez uwierzytelnienia i bez interakcji użytkownika ustawienie słabego hasła, co poważnie obniża poziom bezpieczeństwa kont.

▸ Pokaż oryginał (EN)

An issue in the password change function of Silverpeas v6.4.2 and lower allows for the bypassing of password complexity requirements.

🤖 Analiza AI

Jak działa

Błąd dotyczy implementacji mechanizmu zmiany hasła (CWE-521: Weak Password Requirements). Weryfikacja złożoności hasła może zostać pominięta, co oznacza, że kontrole po stronie serwera nie są prawidłowo egzekwowane. W efekcie możliwe jest ustawienie hasła niespełniającego minimalnych wymagań bezpieczeństwa — np. bardzo krótkiego lub trywialnego — bez żadnej blokady ze strony aplikacji.

Skutki

Atakujący może ustawić słabe lub trywialne hasło dla konta, co ułatwia jego późniejsze przejęcie metodami takimi jak atak słownikowy lub brute-force. W konsekwencji możliwe jest nieautoryzowane uzyskanie dostępu do systemu i powiązanych danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację do wersji wyższej niż 6.4.2. Do czasu wdrożenia łatki rekomenduje się egzekwowanie polityki silnych haseł na poziomie organizacyjnym oraz monitorowanie prób zmiany haseł w logach aplikacji.