CVE-2023-41881lowCWE-200CWE-708

CVE-2023-41881: falha de baixa gravidade em vantage6

Deleting a collaboration should also delete linked resources

Publicada em · Atualizada em

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 3.7epss 0.4%
Em resumo

Quando uma colaboração é deletada no vantage6, os recursos vinculados como tarefas nem sempre são removidos. Isso pode permitir que usuários em uma nova colaboração com o mesmo ID vejam dados acidentalmente da colaboração antiga deletada.

Detalhe técnico

CWE-200/708: Falha na deleção de recursos no vantage6 anterior à versão 4.0.0 permite divulgação de informações quando uma colaboração é deletada mas seus recursos associados permanecem; o reuso subsequente do mesmo ID de colaboração permite que usuários autenticados acessem dados órfãos do contexto anterior.

Resumo gerado e traduzido por IA a partir da descrição oficial.
vantage6 is privacy preserving federated learning infrastructure. When a collaboration is deleted, the linked resources (such as tasks from that collaboration) should be deleted. This is partly to manage data properly, but also to prevent a potential (but unlikely) side-effect that affects versions prior to 4.0.0, where if a collaboration with id=10 is deleted, and subsequently a new collaboration is created with id=10, the authenticated users in that collaboration could potentially see results of the deleted collaboration in some cases. Version 4.0.0 contains a patch for this issue. There are no known workarounds.
CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:L/I:L/A:N
Produtos afetados
vantage6 · vantage6