CWE-307

Aplikacja mobilna Pause+ (Başbelen Group) nie ogranicza prawidłowo liczby prób logowania, co umożliwia obejście mechanizmu uwierzytelnienia. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL) i może być wykorzystana zdalnie bez żadnych uprawnień.

Plugin Login with OTP dla WordPress w wersjach do 1.6 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelnienia poprzez brute-force jednorazowego kodu OTP. Luka stanowi niekompletną naprawę wcześniejszej podatności CVE-2024-11178 i może prowadzić do pełnego przejęcia kontroli nad stroną.

W aplikacji 2Dogz Blogin (projekt university-bbs) odkryto krytyczną podatność polegającą na słabym mechanizmie generowania kodów weryfikacyjnych w połączeniu z brakiem ograniczenia liczby prób. Umożliwia to nieuwierzytelnionemu atakującemu przeprowadzenie ataku brute-force i przejęcie konta ofiary.

Podatność w SigningHub v8.6.8 polega na braku ograniczenia liczby prób logowania, co umożliwia atakującemu przeprowadzenie ataku brute force i ominięcie uwierzytelnienia. Ze względu na brak wymagań co do uprawnień czy interakcji użytkownika, podatność jest szczególnie niebezpieczna dla systemów dostępnych przez internet.

Akinsoft MyRezzta zawiera podatność CWE-307 polegającą na braku właściwego ograniczenia liczby prób uwierzytelnienia. Umożliwia to atakującemu przeprowadzenie ataku brute force, ominięcie mechanizmów logowania oraz nadużycie funkcji odzyskiwania hasła.

Moduł Mail Login dla Drupal nie ogranicza prawidłowo liczby prób uwierzytelnienia, co umożliwia ataki brute force. Podatność uzyskała ocenę CVSS 9.8 (CRITICAL), co czyni ją poważnym zagrożeniem dla każdej witryny opartej na Drupalu korzystającej z tego modułu.

Aplikacja Agentflow firmy Flowring Technology zawiera podatność typu Account Lockout Bypass (CWE-307), która pozwala nieuwierzytelnionemu atakującemu zdalnie przeprowadzić atak brute force na hasła użytkowników. Podatność uzyskała ocenę CVSS 9.8 (CRITICAL), co czyni ją poważnym zagrożeniem dla bezpieczeństwa kont w systemie.

Aplikacja Safe App w wersji a3.0.9 (IITB) nie implementuje mechanizmu ograniczania liczby prób logowania, co umożliwia atakującemu przeprowadzenie ataku brute force i obejście uwierzytelnienia. Podatność jest krytyczna ze względu na brak jakichkolwiek wymagań wstępnych do jej wykorzystania.

System multimedialny BYD Dilink w wersjach v3.0–v4.0 nie ogranicza liczby prób logowania, co umożliwia atakującemu ominięcie uwierzytelniania przez atak bruteforce. Podatność uzyskała ocenę CVSS 9.8 (krytyczna) i może być wykorzystana zdalnie bez jakichkolwiek uprawnień.

Podatność w mechanizmie resetowania hasła platformy Logsign Unified SecOps Platform umożliwia zdalnym atakującym pominięcie uwierzytelnienia bez jakichkolwiek uprawnień. Uzyskanie nieautoryzowanego dostępu do systemu SIEM/SecOps stanowi krytyczne zagrożenie dla całej infrastruktury bezpieczeństwa organizacji.

Podatność w aplikacji Kaiten (wersja 57.131.12 i wcześniejsze) umożliwia atakującym obejście mechanizmu uwierzytelniania 6-cyfrowym kodem PIN wysyłanym na e-mail. Luka pozwala na nieograniczone zgadywanie kodu PIN metodą brute force, co prowadzi do nieautoryzowanego dostępu do aplikacji.

Pluck CMS w wersji 4.7.18 nie ogranicza liczby nieudanych prób logowania, co umożliwia przeprowadzenie ataku brute force. Brak mechanizmu blokady konta lub rate limiting sprawia, że atakujący może bez przeszkód zgadywać hasła do panelu administracyjnego.

W oprogramowaniu firmware wielu routerów GL-iNet odkryto krytyczną podatność umożliwiającą zdalne wykonanie kodu (RCE). Błąd jest szczególnie groźny, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

Podatność CWE-307 w produkcie Schneider Electric umożliwia atakującemu przeprowadzenie ataku brute-force na formularz logowania bez żadnych ograniczeń liczby prób. W wyniku skutecznego ataku możliwe jest przejęcie konta i nieautoryzowany dostęp do systemu.

Podatność w Argo CD umożliwia atakującemu ominięcie mechanizmu ochrony przed atakami brute force na logowanie poprzez wykorzystanie łańcucha luk, w tym błędu DoS i słabości przechowywania danych w pamięci. Jest to krytyczne zagrożenie, gdyż naraża konta użytkowników na nieograniczoną liczbę prób logowania oraz umożliwia wyłączenie usługi dla wszystkich użytkowników.

SpliceCom Maximiser Soft PBX w wersji 1.5 i wcześniejszych nie ogranicza liczby prób logowania, co umożliwia atakującemu ominięcie uwierzytelnienia metodą brute force. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL) i nie wymaga żadnych uprawnień ani interakcji użytkownika.

Urządzenia EuroTel ETL3100 w wersjach v01c01 i v01x37 nie ograniczają liczby prób zgadnięcia danych uwierzytelniających administratora, co pozwala atakującemu na przeprowadzenie zdalnego ataku brute-force. Podatność jest krytyczna, ponieważ jej skuteczne wykorzystanie daje pełną kontrolę nad systemem bez żadnego uwierzytelnienia.

Plugin Theme My Login 2FA dla WordPress w wersjach przed 1.2 nie ogranicza liczby prób weryfikacji kodu dwuskładnikowego (2FA), co umożliwia przeprowadzenie ataku brute-force. Jest to szczególnie groźne, ponieważ kody 2FA składają się jedynie z 6 cyfr, co oznacza zaledwie milion możliwych kombinacji.

DoraCMS v2.1.8 wykorzystuje ten sam kod weryfikacyjny dla walidacji nazw użytkowników i haseł, co umożliwia przeprowadzenie skutecznego ataku brute-force. Brak odpowiednich mechanizmów ograniczających liczbę prób logowania pozwala atakującemu na nieuprawniony dostęp do aplikacji.

Plugin 'Password Reset with Code for WordPress REST API' w wersji do 0.0.15 włącznie nie ogranicza liczby prób uwierzytelnienia podczas resetowania hasła, co pozwala atakującemu na nadużycie mechanizmu autoryzacji. Podatność uzyskała krytyczny wynik CVSS 9.8, co wskazuje na poważne zagrożenie dla bezpieczeństwa witryn WordPress.