Account Takeover in Octobercms
100Vexday Risk Score
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
ssvc Actcvss 8.2epss 90%
de la publicación al arma141 días
Publicada en NVD26 ago
1ª PoC+141d
CISA KEV+145d
probabilidad de explotación
90%top 1% de las CVE
explotación observada
síCISA + VulnCheck
1 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2022-02-01
Apply updates per vendor instructions.
Versiones
Afectadas
composer/october/system < 1.0.472; composer/october/system >= 1.1.1, < 1.1.5
Corregidas en
composer/october/system 1.0.472; composer/october/system 1.1.5
Investigado y redactado con IA a partir del advisory del fabricante y análisis públicos, con las fuentes citadas. Verifica siempre la versión corregida en el advisory oficial antes de actuar.
octobercms in a CMS platform based on the Laravel PHP Framework. In affected versions of the october/system package an attacker can request an account password reset and then gain access to the account using a specially crafted request. The issue has been patched in Build 472 and v1.1.5.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Productos afectados
octobercms · octoberPoCs públicas encontradas — 1
vulncheckvulncheck.com/xdb/9efd406c8865no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
Referencias
https://github.com/octobercms/library/commit/016a297b1bec55d2e53bc889458ed2cb5c3e9374https://github.com/octobercms/library/commit/5bd1a28140b825baebe6becd4f7562299d3de3b9https://github.com/octobercms/october/security/advisories/GHSA-mxr5-mc97-63rchttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-32648