CVE-2020-7245 in CTFd

摘要

由 VulDB • 2026-05-25

CTFd 2.2.2 及之前版本在注册流程中存在用户名验证错误，允许远程攻击者在发起密码重置后接管任意账户。该问题与 auth.py 中的 register() 和 reset_password() 函数有关。要利用此漏洞，攻击者需注册一个与管理员用户名相似、但在用户名前后插入空格的账户。这将导致该新账户注册为与管理员相同的用户名。在此新账户重置密码后，由于用户名冲突，CTFd 将重置管理员账户的密码。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 预定: 2020-01-20
• 管理: 已接受
• 条目: VDB-149302
• CPE: 准备好
• CWE: CWE-640 (已确认)
• CVSS: 9.8 (NVD)
• EPSS: 0.01166
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2020-7245
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-7245
• CVE Details: https://www.cvedetails.com/cve/CVE-2020-7245/