CVE-2023-27159
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
W Appwrite do wersji 1.2.1 wykryto podatność na fałszerstwo żądań po stronie serwera (SSRF) w komponencie /v1/avatars/favicon. Umożliwia ona atakującym dostęp do zasobów sieciowych i poufnych informacji poprzez spreparowane żądanie GET.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych oraz wycieku wrażliwych danych, co może prowadzić do dalszych ataków na infrastrukturę organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Appwrite do wersji 1.2.2 lub nowszej, która zawiera poprawkę eliminującą podatność SSRF. Dodatkowo warto ograniczyć dostęp do komponentu /v1/avatars/favicon za pomocą reguł zapory sieciowej.
Oryginalny opis (angielski, źródło NVD)
Appwrite up to v1.2.1 was discovered to contain a Server-Side Request Forgery (SSRF) via the component /v1/avatars/favicon. This vulnerability allows attackers to access network resources and sensitive information via a crafted GET request.