Vulnerabilidad en el endpoint de cierre de sesión del Panel en Pterodactyl (CVE-2021-41176)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

25/10/2021

Última modificación:

28/10/2021

Descripción

Pterodactyl es un panel de administración de servidores de juegos de código abierto construido con PHP 7, React y Go. En las versiones afectadas de Pterodactyl, un usuario malicioso puede desencadenar un cierre de sesión si un usuario que ha iniciado sesión visita un sitio web malicioso que realiza una petición al endpoint de cierre de sesión del Panel. Esto requiere un ataque dirigido contra una instancia específica del Panel y sólo sirve para cerrar la sesión del usuario. **No son filtrados los detalles del usuario ni están afectados los datos del usuario; en el peor de los casos se trata simplemente de una molestia.** Esto es corregido en la versión 1.6.3

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

4.30

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno