CVE-2024-31218

Webhood, fişinq və zərərli saytların təhlili üçün istifadə olunan özünə məxsus (self-hosted) URL skaneridir. Webhood-un 0.9.0 və daha öncəki versiyalardakı backend konteyner imicləri Kritik Funksiya üçün Autentifikasiyanın Olmaması zəifliyindən təsirlənir. Bu zəiflik autentifikasiya olunmamış hücumçuya admin hesabı yaratmaq üçün verilənlər bazasının (Pocketbase) admin API-na HTTP sorğusu göndərməyə imkan verir. Heç bir admin hesabı əlavə edilmədikdə, Pocketbase admin API admin hesabı yaradarkən autentifikasiya/avtorizasiyanı yoxlamır. Defolt quraşdırılmasında Webhood verilənlər bazasında admin hesabı yaratmır. Buna görə də, istifadəçilər verilənlər bazasında əllə admin hesabı yaratmadıqları təqdirdə, quraşdırmada admin hesabı mövcud olmayacaq və sistem zəifliyə məruz qalacaqdır. 0.9.1 versiyasından başlayaraq bu problem aradan qaldırılıb. Yamaq, əgər admin hesabları hələ yaradılmayıbsa (yəni quraşdırma zəifliyə qarşı həssasdırsa), təsadüfi şəkildə generatsiya edilmiş admin hesabı yaradır. Müvəqqəti həll yolu kimi istifadəçilər `/api/admins` ilə başlayan URL yoluna girişi tamamilə bağlaya bilərlər. Bu müvəqqəti həll yolu ilə zəiflik şəbəkə vasitəsilə istismar edilə bilmir.