CVE-2023-40765
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W wersji 4.0 kalendarza rezerwacji wydarzeń PHPJabbers występuje problem z enumeracją użytkowników. Podczas odzyskiwania hasła różnice w komunikatach mogą umożliwić atakującemu ustalenie, czy użytkownik jest ważny, co pozwala na przeprowadzenie ataku brute force na ważnych użytkowników.
Ocena ryzyka
Organizacja może być narażona na ataki brute force, co może prowadzić do nieautoryzowanego dostępu do kont użytkowników. Wzrost ryzyka naruszenia danych oraz utraty zaufania użytkowników.
Rekomendacja
Zaleca się wprowadzenie jednolitych komunikatów podczas procesu odzyskiwania hasła, aby zminimalizować ryzyko enumeracji użytkowników. Dodatkowo warto rozważyć implementację dodatkowych zabezpieczeń, takich jak ograniczenia liczby prób logowania.
Oryginalny opis (angielski, źródło NVD)
User enumeration is found in PHPJabbers Event Booking Calendar v4.0. This issue occurs during password recovery, where a difference in messages could allow an attacker to determine if the user is valid or not, enabling a brute force attack with valid users.