Vulnerabilidad en b2evolution (CVE-2022-30935)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-330 Uso de valores insuficientemente aleatorios

Fecha de publicación:

28/09/2022

Última modificación:

21/05/2025

Descripción

Una omisión de autorización en b2evolution permite a atacantes remotos no autenticados predecir tokens de restablecimiento de contraseña para cualquier usuario mediante el uso de una función de aleatoriedad incorrecta. Esto permite al atacante obtener sesiones válidas para usuarios arbitrarios, y opcionalmente restablecer su contraseña. Probado y confirmado en una instalación por defecto de la versión 7.2.3. Las versiones anteriores están afectadas, posiblemente también las versiones mayores anteriores

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.10 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno