CVE-2023-40172
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność CVE-2023-40172 dotyczy projektu Social media skeleton, który przed wersją 1.0.5 nie ograniczał odpowiednio ataków typu Cross-site request forgery (CSRF). Atakujący mógł oszukać ofiarę, zmuszając ją do wykonania niezamierzonej akcji na stronie internetowej.
Ocena ryzyka
Brak odpowiednich zabezpieczeń przed atakami CSRF może prowadzić do nieautoryzowanego dostępu do kont użytkowników oraz wykonania niepożądanych działań na stronie, co zagraża bezpieczeństwu danych organizacji.
Rekomendacja
Zaleca się jak najszybszą aktualizację do wersji 1.0.5 lub nowszej, aby zabezpieczyć się przed tym rodzajem ataku.
Inne podatności w Social media skeleton
Zobacz wszystkie- CVE-2023-39344Krytyczne
W projekcie social-media-skeleton występuje podatność na wstrzykiwanie SQL, która umożliwia ataki oparte na UNION, co pośrednio prowadzi do zdalnego wykonania kodu. Została wprowadzona poprawka w commicie 3cabdd35c3d874608883c9eaf9bf69b2014d25c1.
- CVE-2023-40174Średnie
Podatność CVE-2023-40174 dotyczy projektu Social media skeleton, który nieprawidłowo zarządza cyklem życia sesji użytkownika. Wersje przed 1.0.5 nie ograniczały odpowiednio czasu trwania sesji, co stwarza ryzyko nieautoryzowanego dostępu.
- CVE-2023-40173Wysokie
Social Media Skeleton przed wersją 1.0.5 nie stosował odpowiedniego solenia haseł, co narażało je na łamanie w przypadku uzyskania dostępu do zhashowanych haseł przez atakującego.
- CVE-2023-39518Średnie
Projekt social-media-skeleton, stworzony w PHP, MySQL, CSS, JavaScript i HTML, zawiera podatność na przechowywane ataki XSS w wersjach od 1.0.0 do 1.0.3. Problem został naprawiony w wersji 1.0.3.
Oryginalny opis (angielski, źródło NVD)
Social media skeleton is an uncompleted/framework social media project implemented using a php, css ,javascript and html. A Cross-site request forgery (CSRF) attack is a type of malicious attack whereby an attacker tricks a victim into performing an action on a website that they do not intend to do. This can be done by sending the victim a malicious link or by exploiting a vulnerability in the website. Prior to version 1.0.5 Social media skeleton did not properly restrict CSRF attacks. This has been addressed in version 1.0.5 and all users are advised to upgrade. There are no known workarounds for this vulnerability.