CVE-2024-34451
28Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 9.1epss 0.8%
probabilidade de exploração
0.8%top 46% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo
O Ghost versão 5.85.1 e anteriores permite que atacantes contornem o limite de tentativas de login usando múltiplos cabeçalhos falsos de origem, facilitando ataques de força bruta para adivinhar senhas.
Detalhe técnico
O Ghost não valida adequadamente os cabeçalhos X-Forwarded-For ao aplicar limites de taxa na autenticação, permitindo que atacantes falsifiquem múltiplos IPs de cliente e burlem as proteções contra força bruta. Requer acesso de rede à instância Ghost e assume que a aplicação confia em cabeçalhos de proxy sem validação; o impacto é enfraquecimento da segurança de autenticação.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Ghost through 5.85.1 allows remote attackers to bypass an authentication rate-limit protection mechanism by using many X-Forwarded-For headers with different values. NOTE: the vendor's position is that Ghost should be installed with a reverse proxy that allows only trusted X-Forwarded-For headers.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Produtos afetados
n/a · n/a