Vulnerabilidad en Pow (CVE-2023-42446)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

18/09/2023

Última modificación:

22/09/2023

Descripción

Pow es una solución de autenticación y gestión de usuarios para aplicaciones basadas en Phoenix y Plug. A partir de la versión 1.0.14 y anteriores a la versión 1.0.34, el uso de `Pow.Store.Backend.MnesiaCache` es susceptible de secuestro de sesión ya que las claves caducadas no se invalidan correctamente al inicio. Una sesión puede caducar cuando todas las instancias de `Pow.Store.Backend.MnesiaCache` se han cerrado durante un período superior al TTL restante de una sesión. La versión 1.0.34 contiene un parche para este problema. Como workaround, las claves caducadas, incluidas todas las sesiones caducadas, se pueden invalidar manualmente.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno