p PatchFirst

GHSA-crr3-h4m8-7f56

GHSA-crr3-h4m8-7f56 · silverstripe/framework vulnerable to member disclosure in login form

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

There is a user ID enumeration vulnerability in our brute force error messages. - Users that don't exist in will never get a locked out message - Users that do exist, will get a locked out message This means an attacker can infer or confirm user details that exist in the member table. This issue has been resolved by ensuring that login attempt logging and lockout process works equivalently for non-existent users as it does for existant users. This is a regression of [SS-2017-002](https://www.silverstripe.org/download/security-releases/ss-2017-002).

CVSS 5.3 · Mittel · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: php

Betroffene Produkte und Versionen

  • silverstripe/framework Packagist

    Softwareversionen
    • 4.0.0
    • 4.0.0-rc1
    • 4.0.0-rc2
    • 4.0.0-rc3
    • 4.0.1
    • 4.0.1-rc1
    • 4.0.2
    • 4.0.3
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 4.0.0-rc1, < 4.0.4

    Auf 4.0.4 aktualisieren

  • silverstripe/framework Packagist

    Softwareversionen
    • 4.1.0
    • 4.1.0-rc1
    • 4.1.0-rc2
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 4.1.0-rc1, < 4.1.1

    Auf 4.1.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →