Misskey 在使用第三方应用程序访问时容易受到不当授权的影响 (CVE-2023-52139)
CVE编号
CVE-2023-52139利用情况
暂无补丁情况
N/A披露时间
2023-12-30漏洞描述
Misskey是一个开源的去中心化社交媒体平台。第三方应用程序可能能够在未经用户许可的情况下访问某些错误指定为'kind'或'secure'的终端点或Websocket API，并执行读取或添加非公开内容的操作。因此，如果身份验证该应用程序的用户为管理员，则会泄露机密信息，如对象存储密钥和SMTP服务器密码；一般用户也可以在未经许可的情况下创建邀请码并泄露非公开的用户信息。此问题在版本[2023.12.1](https://github.com/misskey-dev/misskey/commit/c96bc36fedc804dc840ea791a9355d7df0748e64)中得到修复。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/misskey-dev/misskey/commit/c96bc36fedc804dc840ea791a9355d7... | |
| https://github.com/misskey-dev/misskey/security/advisories/GHSA-7pxq-6xx9-xpgm |
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 低
- 影响范围 已更改
- 用户交互 需要
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
| CWE-285 | 授权机制不恰当 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论