CVE-2017-5473
WysokieStreszczenie
Podatność CSRF w ntopng w wersji 2.4 umożliwia zdalnym atakującym przejęcie uwierzytelnienia dowolnych użytkowników. Przykłady wykorzystania obejmują pliki admin/add_user.lua, admin/change_user_prefs.lua, admin/delete_user.lua oraz admin/password_reset.lua.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do kont użytkowników i przeprowadzać nieautoryzowane operacje, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się wdrożenie zabezpieczeń przed CSRF oraz aktualizację ntopng do najnowszej wersji, aby zminimalizować ryzyko.
Inne podatności w ntopng
Zobacz wszystkie- CVE-2017-7458Wysokie
Funkcja NetworkInterface::getHost w ntopng przed wersją 3.0 pozwala zdalnym atakującym na spowodowanie awarii aplikacji poprzez dereferencję wskaźnika NULL, gdy pole, które powinno zawierać nazwę hosta lub adres IP, jest puste.
- CVE-2017-7459Wysokie
Ntopng w wersjach przed 3.0 umożliwia wykorzystanie podatności typu HTTP Response Splitting.
- CVE-2026-38968Krytyczne
Podatność w ntopng do wersji 6.6 umożliwia przewidywanie identyfikatorów sesji HTTP, co może prowadzić do przejęcia sesji. Identyfikatory sesji są generowane przy użyciu słabego generatora pseudolosowego opartego na czasie, co czyni je deterministycznymi lub podatnymi na kolizje.
Oryginalny opis (angielski, źródło NVD)
Cross-site request forgery (CSRF) vulnerability in ntopng through 2.4 allows remote attackers to hijack the authentication of arbitrary users, as demonstrated by admin/add_user.lua, admin/change_user_prefs.lua, admin/delete_user.lua, and admin/password_reset.lua.