CVE-2023-40173
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Social Media Skeleton przed wersją 1.0.5 nie stosował odpowiedniego solenia haseł, co narażało je na łamanie w przypadku uzyskania dostępu do zhashowanych haseł przez atakującego.
Ocena ryzyka
Brak odpowiedniego solenia haseł zwiększa ryzyko kompromitacji kont użytkowników, co może prowadzić do nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się aktualizację do wersji 1.0.5 lub nowszej, aby zabezpieczyć hasła użytkowników.
Inne podatności w Social Media Skeleton
Zobacz wszystkie- CVE-2023-39344Krytyczne
W projekcie social-media-skeleton występuje podatność na wstrzykiwanie SQL, która umożliwia ataki oparte na UNION, co pośrednio prowadzi do zdalnego wykonania kodu. Została wprowadzona poprawka w commicie 3cabdd35c3d874608883c9eaf9bf69b2014d25c1.
- CVE-2023-40174Średnie
Podatność CVE-2023-40174 dotyczy projektu Social media skeleton, który nieprawidłowo zarządza cyklem życia sesji użytkownika. Wersje przed 1.0.5 nie ograniczały odpowiednio czasu trwania sesji, co stwarza ryzyko nieautoryzowanego dostępu.
- CVE-2023-40172Średnie
Podatność CVE-2023-40172 dotyczy projektu Social media skeleton, który przed wersją 1.0.5 nie ograniczał odpowiednio ataków typu Cross-site request forgery (CSRF). Atakujący mógł oszukać ofiarę, zmuszając ją do wykonania niezamierzonej akcji na stronie internetowej.
- CVE-2023-39518Średnie
Projekt social-media-skeleton, stworzony w PHP, MySQL, CSS, JavaScript i HTML, zawiera podatność na przechowywane ataki XSS w wersjach od 1.0.0 do 1.0.3. Problem został naprawiony w wersji 1.0.3.
Oryginalny opis (angielski, źródło NVD)
Social media skeleton is an uncompleted/framework social media project implemented using a php, css ,javascript and html. Prior to version 1.0.5 Social media skeleton did not properly salt passwords leaving user passwords susceptible to cracking should an attacker gain access to hashed passwords. This issue has been addressed in version 1.0.5 and users are advised to upgrade. There are no known workarounds for this issue.