CVE-2022-39355 in Patreon

Tóm tắt

Bởi VulDB • 25/06/2026

Discourse Patreon cho phép đồng bộ hóa giữa các Nhóm Discourse và phần thưởng của Patreon. Trên các trang web có đăng nhập Patreon được bật, một lỗ hổng xác thực không đúng cách có thể bị lợi dụng để chiếm quyền kiểm soát tài khoản diễn đàn của nạn nhân. Lỗ hổng này đã được vá trong commit số 846d012151514b35ce42a1636c7d70f6dcee879e của plugin discourse-patreon. Để phòng ngừa rủi ro, mọi tài khoản Discourse đã đăng nhập bằng tài khoản Patreon có email chưa được xác minh sẽ bị đăng xuất và yêu cầu xác minh địa chỉ email trong lần đăng nhập tiếp theo. Làm cách khắc phục tạm thời (workaround), hãy tắt tích hợp patreon và đăng xuất tất cả người dùng có liên kết với các tài khoản Patreon.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: GitHub, Inc.
• Đặt trước: 02/09/2022
• Tiết lộ: 27/10/2022
• Kiểm duyệt: được chấp nhận
• mục: VDB-212332
• CPE: sẵn sàng
• CWE: CWE-287 (Đã xác nhận)
• CVSS: 9.8 (NVD)
• EPSS: 0.00832
• KEV: không
• Các hoạt động: rất thấp
• ngành: Telecommunication, Hostingprovider, ...

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-39355
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-39355
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-39355/