Katalog CVE
CVE-2022-34624
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzyko0.51%
Percentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność w Mealie 1.0.0beta3 polega na braku unieważniania tokenów pobierania po wylogowaniu użytkownika. Umożliwia to atakującemu przeprowadzenie ataku typu man-in-the-middle poprzez spreparowane żądanie GET.
Ocena ryzyka
Atakujący może przechwycić i modyfikować dane przesyłane między użytkownikiem a serwerem, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować Mealie do wersji nowszej niż 1.0.0beta3, w której problem został naprawiony. Dodatkowo wdrożyć mechanizmy unieważniania tokenów po wylogowaniu.
Oryginalny opis (angielski, źródło NVD)
Mealie1.0.0beta3 does not terminate download tokens after a user logs out, allowing attackers to perform a man-in-the-middle attack via a crafted GET request.