CVE-2020-37094
Açıklama
5.7.0 ile 5.9.0 sürümleri arasındaki EspoCRM, kimliği doğrulanmış saldırganların application/Espo/Core/Utils/Authentication/Espo.php dosyasındaki token-şifre-özeti eşlemesini istismar ederek iki faktörlü kimlik doğrulamayı atlamasına olanak tanıyan bir kimlik doğrulama belirteci (token) yeniden kullanımı zafiyeti içermektedir. Belirteçler kullanıcıya özel benzersiz değerler yerine şifre özetlerine bağlandığı için, saldırganlar kontrol ettikleri bir hesap için kimlik doğrulama belirteci elde edebilir ve bunu aynı şifreyi paylaşan herhangi bir mağdur hesaba karşı tekrar kullanarak mağdurun 2FA korumalarını atlayabilirler.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| espocrm espocrm | v ≤ 5.8.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.