Vulnerabilidad en Shopware (CVE-2023-22732)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

17/01/2023

Última modificación:

07/11/2023

Descripción

Shopware es una plataforma de comercio de código abierto basada en Symfony Framework y Vue js. La caducidad de la sesión de administración se fijó en una semana, cuando un atacante robaba la cookie de sesión podía utilizarla durante un largo período de tiempo. En la versión 6.4.18.1 se agregó un cierre de sesión automático en la sesión de Administración. Como resultado, se cerrará la sesión del usuario cuando esté inactivo. Se recomienda a los usuarios que actualicen. No se conocen workarounds para este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto