CVE-2023-36136
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
System planowania zajęć PHPJabbers w wersji 1.0 nie stosuje szyfrowania haseł podczas edytowania konta użytkownika, co pozwala atakującemu na przechwycenie wszystkich nazw użytkowników i haseł w postaci niezaszyfrowanej.
Ocena ryzyka
Brak szyfrowania haseł stwarza poważne ryzyko wycieku danych użytkowników, co może prowadzić do nieautoryzowanego dostępu do kont i zasobów organizacji.
Rekomendacja
Zaleca się wprowadzenie szyfrowania haseł w systemie oraz audyt bezpieczeństwa, aby zminimalizować ryzyko wycieku danych.
Inne podatności w PHPJabbers Class Scheduling System 1.0
Zobacz wszystkie- CVE-2023-36137Średnie
W systemie PHPJabbers Class Scheduling 1.0 występuje podatność typu Cross Site Scripting (XSS) w parametrze 'theme' pliku preview.php.
- CVE-2023-36135Wysokie
W systemie PHPJabbers Class Scheduling System w wersji 1.0 występuje problem z enumeracją użytkowników. Podczas procesu odzyskiwania hasła różnice w komunikatach mogą umożliwić atakującemu ustalenie, czy dany użytkownik jest ważny, co otwiera drogę do ataku brute force na ważnych użytkowników.
Oryginalny opis (angielski, źródło NVD)
PHPJabbers Class Scheduling System 1.0 lacks encryption on the password when editing a user account (update user page) allowing an attacker to capture all user names and passwords in clear text.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS