Vulnerabilidad en Lightdash (CVE-2024-6586)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

30/08/2024

Última modificación:

03/09/2024

Descripción

La versión 0.1024.6 de Lightdash permite a los usuarios con los permisos necesarios, como Administrador o Editor, crear y compartir paneles. Un panel que contiene elementos HTML que apuntan a una fuente controlada por un actor de amenazas puede activar una solicitud SSRF cuando se exporta, a través de una solicitud POST a /api/v1/dashboards//export. La solicitud falsificada contiene el valor del token de sesión del usuario exportador. Un actor de amenazas podría obtener el token de sesión de cualquier usuario que exporte el panel. El token de sesión obtenido se puede utilizar para realizar acciones como víctima en la aplicación, lo que da como resultado la toma de control de la sesión.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.30 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.30

Gravedad 3.x

ALTA

Vulnerabilidad en Lightdash (CVE-2024-6586)

Descripción

Impacto

Referencias a soluciones, herramientas e información