CVE-2016-10321
KrytyczneStreszczenie
Web2py w wersjach przed 2.14.6 nie sprawdza poprawnie, czy host jest zablokowany przed weryfikacją haseł, co umożliwia zdalnemu atakującemu przeprowadzenie ataków typu brute-force.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu do kont użytkowników poprzez próby odgadnięcia haseł, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację web2py do wersji 2.14.6 lub nowszej, aby zabezpieczyć system przed tymi atakami.
Inne podatności w web2py
Zobacz wszystkie- CVE-2016-4808Wysokie
Wersje Web2py 2.14.5 i wcześniejsze są podatne na atak CSRF (Cross Site Request Forgery), co pozwala napastnikowi na oszukanie zalogowanego użytkownika do wykonania niepożądanych działań. Napastnik może skłonić ofiarę do dezaktywacji zainstalowanej aplikacji, wysyłając jej odpowiedni link.
- CVE-2016-4806Wysokie
Web2py w wersjach 2.14.5 i niższych jest podatny na lukę typu Local File Inclusion, która umożliwia złośliwemu użytkownikowi dostęp do wrażliwych plików serwera webowego.
- CVE-2026-79318Średnie
web2py 3.2.2-stable (commit a7330a2bf21219fa77860b6665de927dd4f98e6d) jest podatny na Directory Traversal w funkcjach read_file()/write_file() (applications/admin/controllers/webservices.py).
Oryginalny opis (angielski, źródło NVD)
web2py before 2.14.6 does not properly check if a host is denied before verifying passwords, allowing a remote attacker to perform brute-force attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS