CVE-2024-34336
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność umożliwiająca enumerację użytkowników w systemie ORDAT FOSS-Online przed wersją 2.24.01. Atakujący może określić, czy konto istnieje w aplikacji, porównując odpowiedzi serwera z funkcji resetowania hasła.
Ocena ryzyka
Ryzyko polega na możliwości zebrania przez atakującego listy istniejących kont użytkowników, co może być wykorzystane do dalszych ataków, takich jak phishing czy ataki siłowe na hasła.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu ORDAT FOSS-Online do wersji 2.24.01 lub nowszej, która usuwa tę podatność.
Inne podatności w ORDAT FOSS-Online
Zobacz wszystkie- CVE-2024-34335Średnie
W ORDAT FOSS-Online przed wersją 2.24.01 odkryto podatność na odbity atak XSS na stronie logowania. Atakujący może wstrzyknąć złośliwy skrypt poprzez specjalnie spreparowane żądanie.
- CVE-2024-34334Wysokie
W systemie ORDAT FOSS-Online przed wersją 2.24.01 wykryto podatność na wstrzykiwanie SQL w funkcji resetowania hasła. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
User enumeration vulnerability in ORDAT FOSS-Online before v2.24.01 allows attackers to determine if an account exists in the application by comparing the server responses of the forgot password functionality.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS