CVE-2024-11716mediumCWE-837

CVE-2024-11716: falha de média gravidade em CTFd

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar CTFd

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

18Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 12%
Em resumo

Uma falha no CTFd permite que um usuário autenticado mude de time durante uma competição em andamento, mesmo que deveria escolher o time apenas uma vez no registro. Isso prejudica a justiça da competição ao permitir que jogadores troquem de time no meio do evento.

Detalhe técnico

A vulnerabilidade existe no CTFd 3.7.0–3.7.4 devido à validação inadequada da lógica ao redefinir a atribuição de bracket de um usuário. Um usuário autenticado pode disparar uma redefinição de bracket e se reatribuir a um time diferente durante a competição, contornando a restrição intencional de atribuição única ao time. Isso afeta a integridade e justiça da competição.

Resumo gerado e traduzido por IA a partir da descrição oficial.
While assignment of a user to a team (bracket) in CTFd should be possible only once, at the registration, a flaw in logic implementation allows an authenticated user to reset it's bracket and then pick a new one, joining another team while a competition is already ongoing. This issue impacts releases from 3.7.0 up to 3.7.4 and was addressed by pull request 2636 https://github.com/CTFd/CTFd/pull/2636  included in 3.7.5 release.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Produtos afetados
CTFd · CTFd
CVEs relacionadas — CTFd

No mesmo produto, das mais perigosas para as menos.

CVE-2024-11717MEDIUMCVE-2024-11717EPSS 0.7%CVE-2026-121562MEDIUMCTFd 3.1.0 before 3.8.7 Information Disclosure via /api/v1/teams EndpointEPSS 0.3%