Vulnerabilidad en YourSpotify (CVE-2024-28194)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-798 Credenciales embebidas en el software

Fecha de publicación:

13/03/2024

Última modificación:

12/02/2025

Descripción

your_spotify es un panel de seguimiento de Spotify autohospedado y de código abierto. Las versiones de YourSpotify &lt; 1.8.0 utilizan un secreto JSON Web Token (JWT) codificado para firmar tokens de autenticación. Los atacantes pueden utilizar este valor conocido para falsificar tokens de autenticación válidos para usuarios arbitrarios. Esta vulnerabilidad permite a los atacantes eludir la autenticación y autenticarse como usuarios arbitrarios de YourSpotify, incluidos los usuarios administradores. Este problema se solucionó en la versión 1.8.0. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.10 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno