CVE-2023-36135
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W systemie PHPJabbers Class Scheduling System w wersji 1.0 występuje problem z enumeracją użytkowników. Podczas procesu odzyskiwania hasła różnice w komunikatach mogą umożliwić atakującemu ustalenie, czy dany użytkownik jest ważny, co otwiera drogę do ataku brute force na ważnych użytkowników.
Ocena ryzyka
Organizacja może być narażona na ataki brute force, co może prowadzić do nieautoryzowanego dostępu do kont użytkowników. To zwiększa ryzyko wycieku danych oraz naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się wprowadzenie jednolitych komunikatów podczas procesu odzyskiwania hasła, aby zminimalizować ryzyko enumeracji użytkowników. Dodatkowo warto rozważyć implementację dodatkowych zabezpieczeń, takich jak ograniczenie prób logowania.
Inne podatności w PHPJabbers Class Scheduling System v1.0
Zobacz wszystkie- CVE-2023-36136Średnie
System planowania zajęć PHPJabbers w wersji 1.0 nie stosuje szyfrowania haseł podczas edytowania konta użytkownika, co pozwala atakującemu na przechwycenie wszystkich nazw użytkowników i haseł w postaci niezaszyfrowanej.
- CVE-2023-36137Średnie
W systemie PHPJabbers Class Scheduling 1.0 występuje podatność typu Cross Site Scripting (XSS) w parametrze 'theme' pliku preview.php.
Oryginalny opis (angielski, źródło NVD)
User enumeration is found in in PHPJabbers Class Scheduling System v1.0. This issue occurs during password recovery, where a difference in messages could allow an attacker to determine if the user is valid or not, enabling a brute force attack with valid users.