CVE-2024-43042

Pluck CMS 4.7.18 — brak ograniczenia nieudanych prób logowania (brute force)

CVSS 9.8v3.1pub. 2024-08-16upd. 2025-03-19

Pluck CMS w wersji 4.7.18 nie ogranicza liczby nieudanych prób logowania, co umożliwia przeprowadzenie ataku brute force. Brak mechanizmu blokady konta lub rate limiting sprawia, że atakujący może bez przeszkód zgadywać hasła do panelu administracyjnego.

▸ Pokaż oryginał (EN)

Pluck CMS 4.7.18 does not restrict failed login attempts, allowing attackers to execute a brute force attack.

🤖 Analiza AI

Jak działa

Aplikacja nie implementuje żadnych zabezpieczeń ograniczających wielokrotne, nieudane próby uwierzytelnienia (CWE-307). Atakujący może automatycznie wysyłać żądania logowania z różnymi kombinacjami haseł bez ryzyka zablokowania konta lub spowolnienia procesu. W efekcie możliwe jest przeprowadzenie pełnego ataku brute force na panel administracyjny CMS.

Skutki

Skuteczny atak brute force może doprowadzić do przejęcia konta administratora, co w konsekwencji umożliwia atakującemu pełną kontrolę nad systemem CMS — w tym modyfikację treści, wgranie złośliwych plików lub dalsze kompromitowanie serwera.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako dodatkowe środki zaradcze zaleca się wdrożenie zewnętrznych mechanizmów ograniczania prób logowania (np. rate limiting na poziomie firewall lub serwera WWW), stosowanie silnych i unikalnych haseł administratora oraz rozważenie ograniczenia dostępu do panelu logowania na poziomie adresu IP.