Opis podatności
CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu CDeX i koordynował proces ujawniania informacji.
Podatność CVE-2024-2463 dotyczy podatnego mechanizmu odzyskiwania hasła, który pozwala na pozyskanie tokenu resetowania hasła dla dowolnego użytkownika.
Podatność CVE-2024-2464 umożliwia na podstawie komunikatów zwracanych podczas resetu hasła ustalenie, czy użytkownik jest prawidłowy, czy nie. Pozwala to stworzyć listę użytkowników aplikacji, co może prowadzić do prób odgadnięcia ich haseł.
Podatność CVE-2024-2465 umożliwia przekierowanie użytkowników na dowolne strony internetowe za pośrednictwem specjalnie spreparowanego adresu URL.
Producent systemu potwierdził usunięcie podatności w wersjach systemu nowszych niż 5.7.1.
Podziękowania
Za zgłoszenie podatności dziękujemy dr. inż. Michałowi Walkowskiemu.
