CVE-2024-34451
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O Ghost versão 5.85.1 e anteriores permite que atacantes contornem o limite de tentativas de login usando múltiplos cabeçalhos falsos de origem, facilitando ataques de força bruta para adivinhar senhas.
O Ghost não valida adequadamente os cabeçalhos X-Forwarded-For ao aplicar limites de taxa na autenticação, permitindo que atacantes falsifiquem múltiplos IPs de cliente e burlem as proteções contra força bruta. Requer acesso de rede à instância Ghost e assume que a aplicação confia em cabeçalhos de proxy sem validação; o impacto é enfraquecimento da segurança de autenticação.