CVE-2022-34530

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

W Backdrop CMS v1.22.0 wykryto problem w funkcjonalności logowania i resetowania hasła, który umożliwia atakującym enumerację nazw użytkowników. Podatność polega na tym, że system zwraca różne odpowiedzi w zależności od tego, czy podana nazwa użytkownika istnieje, co pozwala na jej identyfikację.

Ryzyko polega na możliwości zebrania przez atakującego listy prawidłowych nazw użytkowników, co może być pierwszym krokiem do przeprowadzenia ataków siłowych lub socjotechnicznych na konta administratorów i innych użytkowników.

Zaleca się natychmiastową aktualizację Backdrop CMS do najnowszej stabilnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy rozważyć zastosowanie tymczasowych zabezpieczeń, takich jak ograniczenie dostępu do strony logowania lub wdrożenie mechanizmów opóźniających odpowiedzi.