CVE-2024-31218

Webhood, kimlik avı ve kötü amaçlı siteleri analiz etmek için kullanılan self-hosted bir URL tarayıcıdır. Webhood'un 0.9.0 ve önceki sürümlerindeki backend konteyner imajları, Kritik Fonksiyon için Kimlik Doğrulama Eksikliği zafiyetine sahiptir. Bu zafiyet, kimlik doğrulaması yapmamış bir saldırganın, bir yönetici hesabı oluşturmak için veritabanı (Pocketbase) admin API'sine bir HTTP isteği göndermesine olanak tanır. Pocketbase admin API'si, henüz hiçbir yönetici hesabı eklenmediğinde, yönetici hesabı oluştururken kimlik doğrulama/yetkilendirme kontrolü yapmaz. Varsayılan dağıtımında Webhood, bir veritabanı yönetici hesabı oluşturmaz. Bu nedenle, kullanıcılar veritabanında manuel olarak bir yönetici hesabı oluşturmadığı sürece, dağıtımda bir yönetici hesabı bulunmayacak ve dağıtım savunmasız olacaktır. 0.9.1 sürümünden itibaren yamalanmıştır. Yama, eğer yönetici hesapları henüz oluşturulmadıysa (yani zafiyet dağıtımda istismar edilebilirse), rastgele oluşturulmuş bir yönetici hesabı oluşturur. Geçici bir çözüm olarak kullanıcılar, `/api/admins` ile başlayan URL yoluna erişimi tamamen kapatabilirler. Bu geçici çözümle zafiyet ağ üzerinden istismar edilemez.