CVE-2022-34530
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W Backdrop CMS v1.22.0 wykryto problem w funkcjonalności logowania i resetowania hasła, który umożliwia atakującym enumerację nazw użytkowników. Podatność polega na tym, że system zwraca różne odpowiedzi w zależności od tego, czy podana nazwa użytkownika istnieje, co pozwala na jej identyfikację.
Ocena ryzyka
Ryzyko polega na możliwości zebrania przez atakującego listy prawidłowych nazw użytkowników, co może być pierwszym krokiem do przeprowadzenia ataków siłowych lub socjotechnicznych na konta administratorów i innych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację Backdrop CMS do najnowszej stabilnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy rozważyć zastosowanie tymczasowych zabezpieczeń, takich jak ograniczenie dostępu do strony logowania lub wdrożenie mechanizmów opóźniających odpowiedzi.
Inne podatności w Backdrop CMS
Zobacz wszystkie- CVE-2025-71310Niskie
Moduł GDPR cookies dla Backdrop CMS przed wersją 1.x-1.3.5 nie chroni wystarczająco odwiedzających przed atakami Cross Site Scripting (XSS), jeśli dla opcjonalnego pola 'Info content' usługi YouTube podano złośliwą wartość. Atak jest możliwy tylko wtedy, gdy osoba atakująca ma rolę z uprawnieniem do tworzenia lub edycji usług GDPR Cookies, a strona musi mieć skonfigurowaną usługę YouTube.
- CVE-2025-44141Średnie
W Backdrop CMS 1.30 w formularzu tworzenia węzłów występuje podatność na atak typu Cross-Site Scripting (XSS). Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony.
Oryginalny opis (angielski, źródło NVD)
An issue in the login and reset password functionality of Backdrop CMS v1.22.0 allows attackers to enumerate usernames via password reset requests and distinct responses returned based on usernames.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS