Podatność w funkcji verifyPassword motywu hexo-theme-matery v2.0.0 pozwala atakującemu na ominięcie mechanizmu uwierzytelnienia i uzyskanie dostępu do stron chronionych hasłem. Ze względu na brak wymagań co do uprawnień i interakcji użytkownika, podatność jest szczególnie niebezpieczna w środowiskach publicznych.
▸ Pokaż oryginał (EN)
An issue in the verifyPassword function of hexo-theme-matery v2.0.0 allows attackers to bypass authentication and access password protected pages.
Błąd sklasyfikowany jako CWE-294 (Authentication Bypass by Capture-replay) wskazuje, że mechanizm weryfikacji hasła w funkcji verifyPassword jest podatny na obejście procesu uwierzytelnienia. Atakujący może bez znajomości prawidłowego hasła uzyskać dostęp do stron, które powinny być chronione. Podatność jest dostępna zdalnie, bez uwierzytelnienia i bez interakcji po stronie ofiary.
Atakujący uzyskuje nieautoryzowany dostęp do treści chronionych hasłem na stronach opartych o podatny motyw, co może prowadzić do ujawnienia poufnych informacji, a w zależności od konfiguracji strony — również do naruszenia integralności i dostępności danych.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie oficjalnego repozytorium projektu na GitHub (blinkfox/hexo-theme-matery) w celu uzyskania aktualnych informacji o poprawce. Do czasu wdrożenia łatki zaleca się usunięcie ochrony hasłem dla stron wrażliwych lub ograniczenie dostępu do nich na poziomie serwera WWW lub firewall.
hexo-theme-matery w wersji 2.0.0
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H