CVE-2024-56733

Password Pusher, hassas bilgileri web üzerinden iletmek için kullanılan açık kaynaklı bir uygulamadır. Versiyon 1.50.3 ve öncesinde, bir saldırganın kullanıcı çıkış yapmadan önce oturum çerezini kopyalayabildiği ve bunun potansiyel olarak oturum çalmaya (session hijacking) olanak tanıdığı bir güvenlik açığı rapor edilmiştir. Oturum belirteci (token) çıkış sırasında değiştirilip geçersiz kılınsa da, eğer bir saldırgan bu işlemden önce oturum çerezini ele geçirmeyi başarırsa, belirteç sona erene veya manuel olarak temizlenene kadar kullanıcının oturumuna yetkisiz erişim sağlamak için bu belirteci kullanabilir. Bu güvenlik açığı; saldırganın aktif bir oturum sırasında, ortadaki adam (man-in-the-middle) saldırısı yoluyla, XSS gibi başka bir güvenlik açığını istismar ederek veya mağdurun cihazına doğrudan erişim sağlayarak oturum çerezine erişebilme yeteneğine dayanmaktadır. Bu güvenlik açığının doğrudan bir çözümü olmasa da, riski en iyi şekilde azaltmak için her zaman Password Pusher'ın en güncel versiyonunun kullanılması önerilir. Kendi sunucunuzda barındırıyorsanız, trafiği şifrelemek ve oturum çerezlerinin iletim sırasında ele geçirilmesini önlemek için Password Pusher'ın yalnızca SSL bağlantıları üzerinden barındırıldığından emin olun. Ek olarak, kullanıcı sistemlerini, tarayıcılarını ve verilerini yetkisiz erişime karşı korumak için yerel güvenlikte en iyi uygulamaları hayata geçirin.