CVE-2024-37893
Açıklama
Firefly III, ücretsiz ve açık kaynaklı bir kişisel finans yöneticisidir. Etkilenen sürümlerde, Firefly III OAuth akışındaki bir MFA atlatma açığı, kötü niyetli kullanıcıların MFA kontrolünü atlamasına izin verebilir. Bu durum, kötü niyetli kullanıcıların diğer kaynaklardan çalınan parolaları kullanarak parola püskürtme (password spraying) yöntemiyle Firefly III verilerine erişim sağlamasına olanak tanır. OAuth uygulamaları artımlı bir kimlik (id) kullanılarak kolayca sıralanabildiği için, bir saldırgan eğer oluşturmuşsa bir OAuth uygulamasını bir kullanıcı profiline oldukça kolay bir şekilde kaydedebilir. Saldırganın ayrıca kurbanın kullanıcı adını ve parolasını bilmesi gerekir. Bu sorun Firefly III v6.1.17 ve üzeri sürümlerde düzeltilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, Firefly III örneği için benzersiz bir parola kullanmalı ve parolalarını güvenli bir şekilde, örneğin bir parola yöneticisinde saklamalıdır.
Nasıl düzeltilir
- grumpydictator/firefly-iii6.1.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| grumpydictator/firefly-iiiPackagist | v < 6.1.17 | 6.1.17 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.