CVE-2016-4808
WysokieStreszczenie
Wersje Web2py 2.14.5 i wcześniejsze są podatne na atak CSRF (Cross Site Request Forgery), co pozwala napastnikowi na oszukanie zalogowanego użytkownika do wykonania niepożądanych działań. Napastnik może skłonić ofiarę do dezaktywacji zainstalowanej aplikacji, wysyłając jej odpowiedni link.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego wyłączenia aplikacji przez zalogowanych użytkowników, co może zakłócić działanie systemu i wpłynąć na bezpieczeństwo danych.
Rekomendacja
Zaleca się aktualizację Web2py do wersji powyżej 2.14.5 oraz wdrożenie dodatkowych zabezpieczeń przeciwko atakom CSRF.
Inne podatności w Web2py
Zobacz wszystkie- CVE-2016-4806Wysokie
Web2py w wersjach 2.14.5 i niższych jest podatny na lukę typu Local File Inclusion, która umożliwia złośliwemu użytkownikowi dostęp do wrażliwych plików serwera webowego.
- CVE-2016-10321Krytyczne
Web2py w wersjach przed 2.14.6 nie sprawdza poprawnie, czy host jest zablokowany przed weryfikacją haseł, co umożliwia zdalnemu atakującemu przeprowadzenie ataków typu brute-force.
Oryginalny opis (angielski, źródło NVD)
Web2py versions 2.14.5 and below was affected by CSRF (Cross Site Request Forgery) vulnerability, which allows an attacker to trick a logged in user to perform some unwanted actions i.e An attacker can trick an victim to disable the installed application just by sending a URL to victim.