CVE-2024-41597
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W systemie ProcessWire w wersji 3.0.229 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia zdalnemu atakującemu dodanie komentarza. Producent kwestionuje to zgłoszenie, argumentując, że system celowo akceptuje anonimowe, nieuwierzytelnione komentarze, a domyślnie dodane komentarze są zatrzymywane do moderacji.
Ocena ryzyka
Ryzyko polega na możliwości dodania przez atakującego niechcianych komentarzy bez wiedzy administratora, co może prowadzić do zaśmiecania treścią lub potencjalnego wykorzystania do ataków socjotechnicznych, jednak ze względu na moderację ryzyko jest ograniczone.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ProcessWire oraz włączenie mechanizmów ochrony CSRF, jeśli są dostępne. Należy również regularnie monitorować i moderować dodawane komentarze.
Oryginalny opis (angielski, źródło NVD)
Cross Site Request Forgery vulnerability in ProcessWire v.3.0.229 allows a remote attacker to insert a comment. NOTE: this is disputed by the Supplier because the product intentionally accepts anonymous, unauthenticated comments and thus there are fewer situations in which CSRF would be a useful attack technique. Also, the submitted comments are, by default, held for moderator review.