← volver
CVE-2024-11717mediumCWE-1391CWE-837

CVE-2024-11717

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.3epss 0.7%
probabilidad de explotación
0.7%top 51% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen

Los tokens de activación de cuenta y restablecimiento de contraseña en CTFd pueden ser reutilizados y no se validan adecuadamente, permitiendo que atacantes en la misma red los intercepten y usen para tomar control de cuentas. Los tokens también exponen direcciones de correo de forma evidente.

Detalle técnico

La vulnerabilidad existe en CTFd ≤3.7.4 donde los tokens de reset/activación se transmiten como parámetros GET, carecen de validación de uso único y pueden reutilizarse dentro del período de validez. Un atacante en la ruta de red puede interceptar tokens, decodificar el correo codificado en base64 incrustado y explotar la intercambiabilidad para ejecutar restablecimientos de contraseña no autorizados o toma de control de cuentas. La mitigación requiere mejoras en la validación de tokens y uso único (resuelto en versión 3.7.5).

Resumen generado y traducido por IA a partir de la descripción oficial.
Tokens in CTFd used for account activation and password resetting can be used interchangeably for these operations. When used, they are sent to the server as a GET parameter and they are not single use, which means, that during token expiration time an on-path attacker might reuse such a token to change user's password and take over the account. Moreover, the tokens also include base64 encoded user email. This issue impacts releases up to 3.7.4 and was addressed by pull request 2679 https://github.com/CTFd/CTFd/pull/2679  included in 3.7.5 release.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
CTFd · CTFd
Referencias
https://blog.ctfd.io/ctfd-3-7-5/https://cert.pl/en/posts/2025/01/CVE-2024-11716https://ctfd.io/http://seclists.org/fulldisclosure/2024/Dec/21https://github.com/CTFd/CTFd/pull/2679https://seclists.org/fulldisclosure/2024/Dec/21