CVE-2024-37893
Təsvir
Firefly III pulsuz və açıq mənbəli şəxsi maliyyə meneceridir. Təsirə məruz qalan versiyalarda Firefly III OAuth axınındakı MFA bypass zəifliyi bədniyyətli istifadəçilərə MFA yoxlamasını yan keçməyə imkan verə bilər. Bu, bədniyyətli istifadəçilərə digər mənbələrdən oğurlanmış şifrələri istifadə edərək password spraying hücumu vasitəsilə Firefly III məlumatlarına giriş əldə etməyə imkan verir. OAuth tətbiqləri artan ID vasitəsilə asanlıqla sadalansın bildiyi üçün, hücumçu bir tətbiq yaratdıqda onu istifadəçi profilinə kifayət qədər asanlıqla bağlamağa çalışa bilər. Hücumçu həmçinin qurbanın istifadəçi adını və şifrəsini bilməlidir. Bu problem Firefly III v6.1.17 və daha yeni versiyalarda aradan qaldırılıb. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər öz Firefly III instansiyaları üçün unikal şifrədən istifadə etməli və şifrələrini təhlükəsiz şəkildə, məsələn, şifrə menecerində saxlamalıdırlar.
Necə düzəltmək olar
- grumpydictator/firefly-iii6.1.17 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| grumpydictator/firefly-iiiPackagist | v < 6.1.17 | 6.1.17 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.