Katalog CVE
CVE-2023-33371
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzyko0.85%
Percentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
IDSecure w wersji 4.7.26.0 i wcześniejszych używa zakodowanego klucza kryptograficznego do podpisywania i weryfikacji tokenów sesyjnych JWT, co pozwala atakującym na podpisywanie dowolnych tokenów sesyjnych i ominięcie uwierzytelnienia.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do systemu, omijając mechanizmy uwierzytelniania, co prowadzi do potencjalnego przejęcia kont użytkowników.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji IDSecure, która eliminuje użycie zakodowanego klucza kryptograficznego.
Oryginalny opis (angielski, źródło NVD)
Control ID IDSecure 4.7.26.0 and prior uses a hardcoded cryptographic key in order to sign and verify JWT session tokens, allowing attackers to sign arbitrary session tokens and bypass authentication.