CVE-2025-9824
Təsvir
Təsir: Hücumçu giriş prosesinin cavab vermə müddətini yoxlayaraq istifadəçinin mövcud olub-olmadığını təsdiqləyə bilər. Bu zaman fərqi etibarlı istifadəçi adlarını aşkar etmək üçün istifadə edilə bilər və bundan sonra hücumçu brute force hücumları cəhd edə bilər. Yamaqlar: Bu zəiflik aradan qaldırılmışdır; istifadəçinin mövcudluğundan asılı olmayaraq sabit cavab müddətlərini təmin edən timing-safe form login autentifikatoru tətbiq edilmişdir. Texniki Təfərrüatlar: Zəiflik aşağıdakı hallarda fərqli cavab müddətləri ilə bağlı olmuşdur: * Etibarlı istifadəçi adı daxil edildikdə (parol həşlənməsi baş vermişdir) * Yanlış istifadəçi adı daxil edildikdə (parol həşlənməsi baş verməmişdir) Həll yolu, mövcud olmayan istifadəçilər üçün belə saxta parol həş yoxlamasını yerinə yetirən və sabit zamanlama təmin edən TimingSafeFormLoginAuthenticator komponentini təqdim edir. Alternativ Həll Yolları: Heç bir alternativ həll yolu mövcud deyil. İstifadəçilər yamaqlanmış versiyaya yüksəltmə etməlidirlər. İstinadlar * https://owasp.org/www-project-web-security-testing-guide/latest/4-Web_Application_Security_Testing/03-Identity_Management_Testing/04-Testing_for_Account_Enumeration_and_Guessable_User_Account
Necə düzəltmək olar
- mautic/core4.4.17, 5.2.8, 6.0.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mautic/corePackagist | 4.4.0 ≤ v < 4.4.17, 5.0.0-alpha ≤ v < 5.2.8, 6.0.0-alpha ≤ v < 6.0.5 | 4.4.17, 5.2.8, 6.0.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.