CVE-2016-9479

Wysokie

Opublikowano: 02/12/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Funkcjonalność 'zapomniane hasło' w b2evolution przed wersją 6.7.9 pozwala zdalnym atakującym na resetowanie haseł dowolnych użytkowników za pomocą odpowiednio skonstruowanego żądania.

Ocena ryzyka

Atakujący mogą uzyskać dostęp do kont użytkowników, co prowadzi do potencjalnego wycieku danych i naruszenia prywatności.

Rekomendacja

Zaleca się aktualizację b2evolution do wersji 6.7.9 lub nowszej, aby zabezpieczyć się przed tą podatnością.

Inne podatności w b2evolution

CVE-2017-5539Krytyczne
Poprawka dotycząca przejścia przez katalogi (CVE-2017-5480) w wersji 6.8.4-stable b2evolution zawiera lukę umożliwiającą obejście. Atakujący może wykorzystać ../ do ominięcia reguły filtra, co pozwala na usunięcie lub odczytanie dowolnych plików na serwerze.

Oryginalny opis (angielski, źródło NVD)

The "lost password" functionality in b2evolution before 6.7.9 allows remote attackers to reset arbitrary user passwords via a crafted request.