CVE-2024-52008

Fides açık kaynaklı bir gizlilik mühendisliği platformudur. Kullanıcı davet kabulü API uç noktası, sunucu tarafında parola politikası zorunluluğuna sahip değildir ve bu durum kullanıcıların istemci tarafındaki doğrulamayı atlayarak keyfi olarak zayıf parolalar belirlemesine olanak tanır. Kullanıcı arayüzü parola karmaşıklığı gereksinimlerini uygulasa da, doğrudan API çağrıları bu kontrolleri devre dışı bırakabilir ve tek karakter kadar kısa parolalara sahip hesapların oluşturulmasına imkan verir. Bir e-posta mesajlaşma sağlayıcısı etkinleştirildiğinde ve sistemde yeni bir kullanıcı hesabı oluşturulduğunda, yeni kullanıcının e-posta adresine özel bir bağlantı içeren bir davet e-postası gönderilir. Bu bağlantı, yeni kullanıcıyı ilk parolasını belirleyebileceği bir sayfaya yönlendirir. Kullanıcı arayüzü parola karmaşıklığı kontrollerini uygular ancak bu doğrulamalar yalnızca istemci tarafında gerçekleştirilir. Altta yatan `/api/v1/user/accept-invite` API uç noktası aynı parola politikası doğrulamalarını uygulamamaktadır. Bu güvenlik açığı, davet edilen bir kullanıcının ilk hesap kurulum süreci sırasında kendi hesabı için son derece zayıf bir parola belirlemesine izin verir. Bu nedenle, söz konusu kullanıcının hesabı, parolayı tahmin eden veya kaba kuvvet saldırısı uygulayan bir saldırgan tarafından kolayca ele geçirilebilir. Güvenlik açığı Fides sürüm `2.50.0` ile yamalanmıştır. Kullanıcıların, sistemlerini bu tehdide karşı korumak için bu sürüme veya daha güncel bir sürüme yükseltmeleri önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm bulunmamaktadır.