CVE-2024-11717

CVSS 6.3 MEDIUMEPSS 0.6%CWE-1391 CWE-837

En resumen

Los tokens de activación de cuenta y restablecimiento de contraseña en CTFd pueden ser reutilizados y no se validan adecuadamente, permitiendo que atacantes en la misma red los intercepten y usen para tomar control de cuentas. Los tokens también exponen direcciones de correo de forma evidente.

Detalle técnico

La vulnerabilidad existe en CTFd ≤3.7.4 donde los tokens de reset/activación se transmiten como parámetros GET, carecen de validación de uso único y pueden reutilizarse dentro del período de validez. Un atacante en la ruta de red puede interceptar tokens, decodificar el correo codificado en base64 incrustado y explotar la intercambiabilidad para ejecutar restablecimientos de contraseña no autorizados o toma de control de cuentas. La mitigación requiere mejoras en la validación de tokens y uso único (resuelto en versión 3.7.5).

Resumen generado y traducido por IA a partir de la descripción oficial.

Tokens in CTFd used for account activation and password resetting can be used interchangeably for these operations. When used, they are sent to the server as a GET parameter and they are not single use, which means, that during token expiration time an on-path attacker might reuse such a token to change user's password and take over the account. Moreover, the tokens also include base64 encoded user email. This issue impacts releases up to 3.7.4 and was addressed by pull request 2679 https://github.com/CTFd/CTFd/pull/2679 included in 3.7.5 release.

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Productos afectados

CTFd · CTFd

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://blog.ctfd.io/ctfd-3-7-5/https://cert.pl/en/posts/2025/01/CVE-2024-11716 https://ctfd.io/http://seclists.org/fulldisclosure/2024/Dec/21 https://github.com/CTFd/CTFd/pull/2679 https://seclists.org/fulldisclosure/2024/Dec/21