CVE-2022-37145
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Platforma PlexTrac przed wersją 1.17.0 nie ogranicza liczby nieudanych prób logowania dla kont korzystających z wbudowanego dostawcy uwierzytelniania. Zdalny, nieuwierzytelniony atakujący może przeprowadzić atak brute-force na stronie logowania bez żadnych ograniczeń czasowych lub liczbowych.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kont użytkowników platformy poprzez atak siłowy, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i raportów z testów penetracyjnych.
Rekomendacja
Należy niezwłocznie zaktualizować platformę PlexTrac do wersji 1.17.0 lub nowszej, która wprowadza mechanizmy ograniczające próby logowania.
Inne podatności w PlexTrac
Zobacz wszystkie- CVE-2022-37146Średnie
Podatność w platformie PlexTrac przed wersją 1.28.0 umożliwia enumerację nazw użytkowników poprzez różnice w czasie odpowiedzi HTTP przy nieudanych próbach logowania dla kont skonfigurowanych z dostawcą uwierzytelniania PlexTrac. Niezautoryzowany zdalny atakujący może zidentyfikować prawidłowe, odblokowane konta użytkowników.
- CVE-2022-37144Wysokie
Platforma PlexTrac przed wersją API 1.17.0 nie ogranicza liczby prób uwierzytelniania MFA TOTP. Niezalogowany zdalny atakujący, posiadający prawidłową nazwę użytkownika i hasło, może metodą brute-force ominąć ochronę MFA i zalogować się jako docelowy użytkownik.
Oryginalny opis (angielski, źródło NVD)
The PlexTrac platform prior to version 1.17.0 does not restrict excessive authentication attempts for accounts configured to use the PlexTrac authentication provider. An unauthenticated remote attacker could perform a bruteforce attack on the login page with no time or attempt limitation in an attempt to obtain valid credentials for the platform users configured to use the PlexTrac authentication provider.