CVE-2023-49105
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 41.2%
- CWE
- CWE-287
- KEV Durumu
- Evet
Yayım tarihi: 21 Kasım 2023 · CISA KEV son iyileştirme tarihi: 30 Ağustos 2026
Etkilenen: owncloud owncloud_server
ownCloud owncloud/core sürüm 10.13.1'den önce bir sorun keşfedildi. Saldırgan, kurbanın kullanıcı adı bilinirse ve kurbanın hiçbir imzalama anahtarı yapılandırılmamışsa, herhangi bir dosyaya kimlik doğrulaması olmadan erişebilir, değiştirebilir veya silebilir. Bu, önceden imzalanmış URL'lerin, dosyaların sahibi için hiçbir imzalama anahtarı yapılandırılmamış olsa bile kabul edilebilmesi nedeniyle xảyar. En erken etkilenen sürüm 10.6.0'dır.
Orijinal açıklama (İngilizce)
An issue was discovered in ownCloud owncloud/core before 10.13.1. An attacker can access, modify, or delete any file without authentication if the username of a victim is known, and the victim has no signing-key configured. This occurs because pre-signed URLs can be accepted even when no signing-key is configured for the owner of the files. The earliest affected version is 10.6.0.
Referanslar
- https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/
- https://owncloud.org/security
- https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/
- https://owncloud.org/security
- https://hunt.io/blog/chinese-speaking-operator-philippine-nuclear-naval-contractor
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-49105
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.