CVE-2024-8644

Przechowywanie wrażliwych danych w ciasteczku w postaci niezaszyfrowanej — Oceanic Software ValeApp

CVSS 9.3v4.0pub. 2024-09-27upd. 2026-06-02

Aplikacja ValeApp firmy Oceanic Software przechowuje wrażliwe informacje w ciasteczkach (cookies) w postaci jawnego tekstu (cleartext), bez odpowiedniego zabezpieczenia. Umożliwia to atakującemu przechwycenie i manipulację danymi sesji, co może prowadzić do przejęcia kontroli nad kontem użytkownika.

▸ Pokaż oryginał (EN)

Cleartext Storage of Sensitive Information in a Cookie vulnerability in Oceanic Software ValeApp allows Protocol Manipulation, : JSON Hijacking (aka JavaScript Hijacking). This issue affects ValeApp: before v2.0.0.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowego przechowywania wrażliwych danych w ciasteczkach bez ich szyfrowania (CWE-312, CWE-315). Atakujący może wykorzystać ten błąd do manipulacji protokołem komunikacji (Protocol Manipulation) lub przeprowadzenia ataku typu JSON Hijacking (JavaScript Hijacking), polegającego na przechwyceniu odpowiedzi JSON zwracanych przez aplikację. Dane w ciasteczkach są dostępne w postaci jawnej, co ułatwia ich odczyt i modyfikację przez nieuprawnione podmioty.

Skutki

Atakujący może przechwycić wrażliwe informacje z ciasteczek, w tym dane sesji lub uwierzytelnienia, a następnie wykorzystać je do nieautoryzowanego dostępu do aplikacji lub jej zasobów. Możliwa jest także manipulacja danymi przesyłanymi między klientem a serwerem.

Mitygacja

Należy zaktualizować aplikację ValeApp do wersji v2.0.0 lub nowszej, w której problem został wyeliminowany. Szczegółowe informacje dostępne są w referencjach producenta oraz w biuletynie bezpieczeństwa USOM (TR-24-1562).

Kogo dotyczy

Oceanic Software ValeApp we wszystkich wersjach przed v2.0.0.

Uwagi

Podatność została zgłoszona i opublikowana przez turecką organizację USOM (Ulusal Siber Olaylara Müdahale Merkezi) w biuletynie TR-24-1562.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X