CVE-2023-39953
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność w user_oidc, backendzie OIDC dla Nextcloud, pozwalała na atak typu man-in-the-middle z powodu braku weryfikacji wydawcy. Atakujący mógł zwrócić uszkodzony lub znany token, do którego miał dostęp.
Ocena ryzyka
Organizacja może być narażona na przejęcie sesji użytkowników oraz nieautoryzowany dostęp do danych, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji 1.3.3 lub nowszej, aby załatać tę podatność. Brak znanych obejść dla tej luki.
Oryginalny opis (angielski, źródło NVD)
user_oidc provides the OIDC connect user backend for Nextcloud, an open-source cloud platform. Starting in version 1.0.0 and prior to version 1.3.3, missing verification of the issuer would have allowed an attacker to perform a man-in-the-middle attack returning corrupted or known token they also have access to. user_oidc 1.3.3 contains a patch. No known workarounds are available.