CVE-2020-7245
Açıklama
CTFd v2.0.0 - v2.2.2 kayıt sürecindeki hatalı kullanıcı adı doğrulaması, kullanıcı adının bilinmesi ve CTFd örneğinde e-postaların etkinleştirilmiş olması durumunda bir saldırganın herhangi bir hesabı ele geçirmesine olanak tanır. Zafiyeti istismar etmek için, kurbanın kullanıcı adına özdeş ancak öncesine ve/veya sonrasına boşluk eklenmiş bir kullanıcı adı ile kayıt olunmalıdır. Bu işlem, hesabın kurbanla aynı kullanıcı adına sahip olarak kaydedilmesini sağlar. Yeni hesap için şifre sıfırlama işlemi başlatıldıktan sonra CTFd, kullanıcı adı çakışması nedeniyle kurbanın hesap şifresini sıfırlayacaktır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ctfd ctfd | 2.0.0 ≤ v ≤ 2.2.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.