CVE-2024-11717

CVSS 6.3 MEDIUMEPSS 0.6%CWE-1391 CWE-837

Em resumo

Os tokens de ativação de conta e redefinição de senha do CTFd podem ser reutilizados e não são validados adequadamente, permitindo que atacantes na mesma rede os interceptem e usem para tomar conta de usuários. Os tokens também expõem endereços de email de forma visível.

Detalhe técnico

A vulnerabilidade existe no CTFd ≤3.7.4 onde tokens de reset/ativação são transmitidos como parâmetros GET, carecem de validação de uso único e podem ser reutilizados dentro da janela de validade. Um atacante no caminho da rede pode interceptar tokens, decodificar o email em base64 incorporado e explorar a intercambiabilidade para executar resetar senhas não autorizadas ou tomar conta de contas. A mitigação requer melhorias na validação de tokens e uso único (resolvido na versão 3.7.5).

Resumo gerado e traduzido por IA a partir da descrição oficial.

Tokens in CTFd used for account activation and password resetting can be used interchangeably for these operations. When used, they are sent to the server as a GET parameter and they are not single use, which means, that during token expiration time an on-path attacker might reuse such a token to change user's password and take over the account. Moreover, the tokens also include base64 encoded user email. This issue impacts releases up to 3.7.4 and was addressed by pull request 2679 https://github.com/CTFd/CTFd/pull/2679 included in 3.7.5 release.

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Produtos afetados

CTFd · CTFd

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

https://blog.ctfd.io/ctfd-3-7-5/https://cert.pl/en/posts/2025/01/CVE-2024-11716 https://ctfd.io/http://seclists.org/fulldisclosure/2024/Dec/21 https://github.com/CTFd/CTFd/pull/2679 https://seclists.org/fulldisclosure/2024/Dec/21