Vulnerabilidad en CasaOS-UserService (CVE-2024-24766)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

06/03/2024

Última modificación:

28/05/2025

Descripción

CasaOS-UserService proporciona funcionalidades de gestión de usuarios a CasaOS. A partir de la versión 0.4.4.3 y antes de la versión 0.4.7, la página de inicio de sesión de Casa OS reveló la vulnerabilidad de enumeración de nombres de usuario en la página de inicio de sesión. Un atacante puede enumerar el nombre de usuario de CasaOS utilizando la respuesta de la aplicación. Si el nombre de usuario es incorrecto, la aplicación muestra el error `**El usuario no existe**`. Si la contraseña es incorrecta, la aplicación muestra el error `**Contraseña no válida**`. La versión 0.4.7 soluciona este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.20 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno