CVE-2023-41881lowCWE-200CWE-708

CVE-2023-41881: fallo de gravedad baja en vantage6

Deleting a collaboration should also delete linked resources

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear vantage6+ Monitorear vantage6

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 3.7epss 0.4%
En resumen

Cuando se elimina una colaboración en vantage6, los recursos vinculados como tareas no siempre se eliminan. Esto podría permitir que usuarios en una nueva colaboración con el mismo ID vean datos accidentalmente de la colaboración anterior eliminada.

Detalle técnico

CWE-200/708: Fallo en la eliminación de recursos en vantage6 anterior a la versión 4.0.0 permite divulgación de información cuando una colaboración se elimina pero sus recursos asociados permanecen; la reutilización posterior del mismo ID de colaboración habilita que usuarios autenticados accedan a datos huérfanos del contexto anterior.

Resumen generado y traducido por IA a partir de la descripción oficial.
vantage6 is privacy preserving federated learning infrastructure. When a collaboration is deleted, the linked resources (such as tasks from that collaboration) should be deleted. This is partly to manage data properly, but also to prevent a potential (but unlikely) side-effect that affects versions prior to 4.0.0, where if a collaboration with id=10 is deleted, and subsequently a new collaboration is created with id=10, the authenticated users in that collaboration could potentially see results of the deleted collaboration in some cases. Version 4.0.0 contains a patch for this issue. There are no known workarounds.
CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:L/I:L/A:N
Productos afectados
vantage6 · vantage6
CVEs relacionadas — vantage6

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-21649HIGHRemote code execution EPSS 1.3%CVE-2023-23930MEDIUMvantage6's Pickle serialization is insecureEPSS 1.1%CVE-2022-39228MEDIUMObservable Response Discrepancy in vantage6EPSS 0.6%CVE-2023-23929HIGHRefresh tokens do not expire in Vantage6EPSS 0.6%CVE-2023-28635MEDIUMDefining resource name as integer in vantage6 may give unintended accessEPSS 0.5%CVE-2023-41882MEDIUMvantage6 Improper Access Control vulnerabilityEPSS 0.5%