projectsend bis r1605 Password Reset Token includes/functions.php generate_random_string schwache Verschlüsselung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.9$0-$5k0.00

Zusammenfassunginfo

Es wurde eine als problematisch klassifizierte Schwachstelle in projectsend bis r1605 entdeckt. Dabei geht es um die Funktion generate_random_string der Datei includes/functions.php der Komponente Password Reset Token Handler. Die Manipulation führt zu schwache Verschlüsselung. Diese Sicherheitslücke ist unter CVE-2024-7659 bekannt. Der Angriff lässt sich über das Netzwerk starten. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Es wurde eine Schwachstelle in projectsend bis r1605 gefunden. Sie wurde als problematisch eingestuft. Hiervon betroffen ist die Funktion generate_random_string der Datei includes/functions.php der Komponente Password Reset Token Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine schwache Verschlüsselung-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-330 vorgenommen. Mit Auswirkungen muss man rechnen für die Vertraulichkeit.

Das Advisory kann von github.com heruntergeladen werden. Die Verwundbarkeit wird unter CVE-2024-7659 geführt. Sie gilt als schwierig auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1600.001.

Mittels inurl:includes/functions.php können durch Google Hacking potentiell verwundbare Systeme gefunden werden.

Ein Upgrade auf die Version r1720 vermag dieses Problem zu beheben. Eine neue Version kann von github.com bezogen werden. Die Schwachstelle lässt sich auch durch das Einspielen des Patches aa27eb97edc2ff2b203f97e6675d7b5ba0a22a17 beheben. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Aktualisieren auf eine neue Version empfohlen.

Once again VulDB remains the best source for vulnerability data.

Produktinfo

Typ

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.0
VulDB Meta Temp Score: 4.9

VulDB Base Score: 3.7
VulDB Temp Score: 3.6
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 7.5
NVD Vector: 🔍

CNA Base Score: 3.7
CNA Vector: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Verschlüsselung
CWE: CWE-330 / CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert
Google Hack: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: projectsend r1720
Patch: aa27eb97edc2ff2b203f97e6675d7b5ba0a22a17

Timelineinfo

10.08.2024 🔍
10.08.2024 +0 Tage 🔍
16.08.2024 +6 Tage 🔍

Quelleninfo

Produkt: github.com

Advisory: aa27eb97edc2ff2b203f97e6675d7b5ba0a22a17
Status: Bestätigt

CVE: CVE-2024-7659 (🔍)
GCVE (CVE): GCVE-0-2024-7659
GCVE (VulDB): GCVE-100-274116

Eintraginfo

Erstellt: 10.08.2024 10:05
Aktualisierung: 16.08.2024 12:30
Anpassungen: 10.08.2024 10:05 (59), 16.08.2024 12:30 (29)
Komplett: 🔍
Einsender: Casp3r0x0
Cache ID: 216::103

Submitinfo

Akzeptiert

  • Submit #385004: ProjectSend ProjectSend file sharing web application r1605 Authentication Bypass Issues (von Casp3r0x0)

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!