Podatność w Shilpi Client Dashboard wynika z braku mechanizmu ograniczającego liczbę błędnych prób logowania w API. Umożliwia to zdalnemu atakującemu przeprowadzenie ataku brute force na hasła i przejęcie kont innych użytkowników.
▸ Pokaż oryginał (EN)
This vulnerability exists in Shilpi Client Dashboard due to missing restrictions for incorrect login attempts on its API based login. A remote attacker could exploit this vulnerability by conducting a brute force attack on password, which could lead to gain unauthorized access to other user accounts.
Aplikacja Shilpi Client Dashboard nie implementuje wystarczających ograniczeń (np. blokady konta, CAPTCHA, limitu prób) dla nieprawidłowych prób uwierzytelnienia w interfejsie API służącym do logowania. Atakujący może bez przeszkód wysyłać kolejne żądania logowania z różnymi kombinacjami haseł. Dzięki temu możliwe jest systematyczne odgadnięcie hasła metodą brute force, co prowadzi do nieautoryzowanego dostępu do konta ofiary.
Atakujący może uzyskać nieautoryzowany dostęp do kont innych użytkowników systemu, co potencjalnie skutkuje ujawnieniem poufnych danych oraz możliwością wykonywania operacji w imieniu przejętych kont.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wdrożenie mechanizmów ograniczających liczbę prób logowania (rate limiting, blokada konta po określonej liczbie błędnych prób, CAPTCHA) jako środki obrony w głąb.
Shilpi Client Dashboard — wersje wskazane w referencjach producenta
Podatność została zgłoszona przez CERT-In (Computer Emergency Response Team India) pod numerem CIVN-2024-0313.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XShilpisoft Client Dashboard
APPShilpisoft< 9.7.0
Powiązane podatności
This vulnerability exists in Shilpi Client Dashboard due to implementation of inadequate authentication mechan...
This vulnerability exists in Shilpi Client Dashboard due to lack of authorization for modification and cancell...
This vulnerability exists in Shilpi Client Dashboard due to lack of rate limiting and Captcha protection for O...
This vulnerability exists in the Shilpi Client Dashboard due to improper validation of files being uploaded ot...
This vulnerability exists in the Shilpi Net Back Office due to improper access controls on certain API endpoin...