CVE-2022-23722: fallo en PingFederate
PingFederate Password Reset via Authentication API Mishandling
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
3Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackepss 0.6%
When a password reset mechanism is configured to use the Authentication API with an Authentication Policy, email One-Time Password, PingID or SMS authentication, an existing user can reset another existing user’s password.
Productos afectados
Ping Identity · PingFederateCVEs relacionadas — PingFederate
En el mismo producto, de las más peligrosas a las menos.
CVE-2021-40329—CVE-2021-40329EPSS 1.1%CVE-2023-40545HIGHPingFederate OAuth client_secret_jwt Authentication BypassEPSS 0.9%CVE-2023-37283HIGHAuthentication Bypass via HTML Form & Identifier First AdapterEPSS 0.9%CVE-2023-39219HIGHAdmin Console Denial of Service via Java class enumerationEPSS 0.7%CVE-2023-34085LOWUser Attribute Disclosure via DynamoDB Data StoresEPSS 0.6%CVE-2021-42000MEDIUMPing Identity PingFederate Password Reset and Password Change Mishandling with an authentication policy in parallel reset flowsEPSS 0.5%