Katalog CVE
CVE-2021-29023
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzyko0.84%
Percentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
InvoicePlane 1.5.11 nie ma ograniczenia szybkości dla resetowania hasła, a token resetu jest generowany przy użyciu słabego, przewidywalnego mechanizmu.
Ocena ryzyka
Atakujący może wielokrotnie próbować resetować hasła i przewidzieć token, co umożliwia przejęcie konta administratora lub innych użytkowników.
Rekomendacja
Zaktualizuj InvoicePlane do wersji, która wprowadza limitowanie żądań i bezpieczne generowanie tokenów resetu hasła.
Oryginalny opis (angielski, źródło NVD)
InvoicePlane 1.5.11 doesn't have any rate-limiting for password reset and the reset token is generated using a weak mechanism that is predictable.