CVE-2024-56733 in PasswordPusher
Resumen
por VulDB • 2026-05-14
Password Pusher es una aplicación de código abierto para comunicar información sensible a través de la web. Se ha informado de una vulnerabilidad en las versiones 1.50.3 y anteriores, donde un atacante puede copiar la cookie de sesión antes de que un usuario cierre la sesión, lo que potencialmente permite el secuestro de sesión (session hijacking). Aunque el token de sesión se reemplaza e invalida al cerrar la sesión, si un atacante logra capturar la cookie de sesión antes de este proceso, puede utilizar el token para obtener acceso no autorizado a la sesión del usuario hasta que el token expire o se borre manualmente. Esta vulnerabilidad depende de la capacidad del atacante para acceder a la cookie de sesión durante una sesión activa, ya sea mediante un ataque de intermediario (man-in-the-middle), explotando otra vulnerabilidad como XSS, o mediante el acceso directo al dispositivo de la víctima. Aunque no existe una resolución directa para esta vulnerabilidad, se recomienda utilizar siempre la versión más reciente de Password Pusher para mitigar mejor el riesgo. Si se aloja de forma propia (self-hosting), asegúrese de que Password Pusher se aloje exclusivamente mediante conexiones SSL para cifrar el tráfico y evitar que las cookies de sesión sean interceptadas en tránsito. Además, implemente las mejores prácticas de seguridad local para proteger los sistemas de los usuarios, los navegadores y los datos contra accesos no autorizados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.