CVE-2017-1000153
KrytyczneStreszczenie
Mahara w wersjach 15.04 przed 15.04.10, 15.10 przed 15.10.6 oraz 16.04 przed 16.04.4 jest podatna na niewłaściwą kontrolę dostępu po wysłaniu linku do resetowania hasła. Po zmianie domyślnego adresu e-mail, Mahara nie unieważnia starego linku, co pozwala na dostęp do konta użytkownika.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do kont użytkowników, co może prowadzić do wycieku danych lub innych poważnych incydentów bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Mahara do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów weryfikacji przy zmianie adresu e-mail.
Oryginalny opis (angielski, źródło NVD)
Mahara 15.04 before 15.04.10 and 15.10 before 15.10.6 and 16.04 before 16.04.4 are vulnerable to incorrect access control after the password reset link is sent via email and then user changes default email, Mahara fails to invalidate old link.Consequently the link in email can be used to gain access to the user's account.