CVE-2016-10321
KrytyczneStreszczenie
Web2py w wersjach przed 2.14.6 nie sprawdza poprawnie, czy host jest zablokowany przed weryfikacją haseł, co umożliwia zdalnemu atakującemu przeprowadzenie ataków typu brute-force.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu do kont użytkowników poprzez próby odgadnięcia haseł, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację web2py do wersji 2.14.6 lub nowszej, aby zabezpieczyć system przed tymi atakami.
Inne podatności w web2py
Zobacz wszystkie- CVE-2016-4808Wysokie
Wersje Web2py 2.14.5 i wcześniejsze są podatne na atak CSRF (Cross Site Request Forgery), co pozwala napastnikowi na oszukanie zalogowanego użytkownika do wykonania niepożądanych działań. Napastnik może skłonić ofiarę do dezaktywacji zainstalowanej aplikacji, wysyłając jej odpowiedni link.
- CVE-2016-4806Wysokie
Web2py w wersjach 2.14.5 i niższych jest podatny na lukę typu Local File Inclusion, która umożliwia złośliwemu użytkownikowi dostęp do wrażliwych plików serwera webowego.
Oryginalny opis (angielski, źródło NVD)
web2py before 2.14.6 does not properly check if a host is denied before verifying passwords, allowing a remote attacker to perform brute-force attacks.