Informazioni sul CVE-2024-34082

Grav Arbitrary File Read to Account Takeover

CWE ID: CWE-269

Base Score (CVSS): N/A

CVE: CVE-2024-34082

Descrizione: Grav è una piattaforma Web basata su file. Prima di versione 1.7.46, un account utente con privilegi di basso livello può leggere qualsiasi file del server utilizzando Twig Syntax. Questo include i file utente Grav (/grav/user/accounts/*.yaml). Questo file memorizza password hashata, segreto 2FA e token di reset password. Questo può consentire a un attaccante di compromettere qualsiasi account registrato e di leggere qualsiasi file sul server resettando una password a un utente per ottenere l’accesso al token di reset password dal file o dal cracking della password hashata. Un account utente con privilegi di basso livello può anche effettuare un takeover completo di altri account registrati, inclusi gli amministratori. Versione 1.7.46 contiene una patch.

Vettore di attacco CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:L

Punteggio CVSS

Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.

Punteggio Base (calcolato da AziendaSicura): 8.5 (High)

Riassunto: Accesso: Network, Privilegi: Low, Interazione utente: None, Confidenzialità: High, Integrità: None, Disponibilità: Low.

Dettaglio del Vettore

Metrica Valore Significato Descrizione
Attack Vector (AV) N Network L’attacco può essere eseguito da remoto attraverso la rete.
Attack Complexity (AC) L Low L’attacco non richiede condizioni particolari.
Privileges Required (PR) L Low Richiede pochi privilegi.
User Interaction (UI) N None Non è richiesta interazione dell’utente.
Scope (S) C Changed La vulnerabilità impatta su componenti esterni.
Confidentiality Impact (C) H High Grave impatto sulla riservatezza.
Integrity Impact (I) N None Nessun impatto sull’integrità.
Availability Impact (A) L Low Interferenza limitata.

Riferimenti esterni

Prodotti interessati

  • getgrav – grav

Relazioni con altri prodotti

Produttore:getgrav
Prodotto: grav
Anno: 2024
CWE: CWE-269
CVSS: 0.0

Ulteriori risorse disponibili