CVE-2024-34451criticalCWE-1390

CVE-2024-34451

Publicada el · Actualizada el

Seguir esta CVE

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

28Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 9.1epss 0.8%
En resumen

Ghost versión 5.85.1 y anteriores permite que atacantes eludan el límite de intentos de inicio de sesión usando múltiples encabezados falsos de origen, facilitando ataques de fuerza bruta para adivinar contraseñas.

Detalle técnico

Ghost no valida adecuadamente los encabezados X-Forwarded-For al aplicar límites de velocidad en autenticación, permitiendo que atacantes falsifiquen múltiples IPs de cliente y eluda las protecciones contra fuerza bruta. Requiere acceso de red a la instancia Ghost y asume que la aplicación confía en encabezados de proxy sin validación; el impacto es debilitamiento de la seguridad de autenticación.

Resumen generado y traducido por IA a partir de la descripción oficial.
Ghost through 5.85.1 allows remote attackers to bypass an authentication rate-limit protection mechanism by using many X-Forwarded-For headers with different values. NOTE: the vendor's position is that Ghost should be installed with a reverse proxy that allows only trusted X-Forwarded-For headers.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Productos afectados
n/a · n/a