CVE-2022-27305
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Gibbon v23 nie generuje nowego identyfikatora sesji po zalogowaniu użytkownika, co umożliwia ataki fiksacji sesji. Atakujący może zmusić ofiarę do użycia znanego identyfikatora sesji, a następnie przejąć jej sesję po zalogowaniu.
Ocena ryzyka
Organizacja narażona jest na przejęcie sesji uwierzytelnionych użytkowników, co może prowadzić do nieautoryzowanego dostępu do danych i funkcji systemu.
Rekomendacja
Należy zaktualizować Gibbon do najnowszej wersji, która generuje nowy identyfikator sesji po zalogowaniu. Jeśli aktualizacja nie jest możliwa, należy wdrożyć mechanizm regeneracji sesji po stronie aplikacji.
Inne podatności w Gibbon
Zobacz wszystkie- CVE-2023-34598Krytyczne
Gibbon w wersji 25.0.0 jest podatny na atak Local File Inclusion (LFI), co pozwala na dołączenie zawartości kilku plików znajdujących się w folderze instalacyjnym do odpowiedzi serwera.
- CVE-2026-8209Średnie
Gibbon przed wersją 30.0.01 zawiera podatność typu path traversal, która może prowadzić do ataku DoS poprzez próbę ekstrakcji plików PHP. Nieudana ekstrakcja .zip powoduje usunięcie pliku i stan DoS. Wymagane są uprawnienia nauczyciela lub wyższe.
- CVE-2026-8208Wysokie
Wersje Gibbon przed v30.0.01 są podatne na lokalne dołączanie plików prowadzące do zdalnego wykonania kodu (RCE) poprzez zmianę katalogu archiwum raportów i wymuszenie interpretacji dostarczonego przez użytkownika pliku .zip jako PHP. Do udanego wykorzystania wymagane są uprawnienia nauczyciela lub wyższe.
- CVE-2026-8207Wysokie
Gibbon przed wersją v30.0.01 zawiera podatność SQL Injection w funkcji Tracking/graphing. Uwierzytelniony użytkownik z uprawnieniami nauczyciela lub wyższymi może wstrzykiwać zapytania SQL, co prowadzi do nieautoryzowanego odczytu i zapisu w bazie danych.
- CVE-2023-34599Średnie
W wersji Gibbon v25.0.0 zidentyfikowano wiele podatności typu Cross-Site Scripting (XSS), które umożliwiają atakującym wykonanie dowolnego kodu Javascript.
Oryginalny opis (angielski, źródło NVD)
Gibbon v23 does not generate a new session ID cookie after a user authenticates, making the application vulnerable to session fixation.