Laravel Reverb 缺少 API 签名验证（CVE-2024-50347）

CVE编号

CVE-2024-50347

利用情况

暂无

补丁情况

N/A

披露时间

2024-11-01

漏洞描述

Laravel Reverb为Laravel应用程序提供了实时WebSocket通信后端。在1.4.0之前，存在一个发送到Reverb的Pusher兼容API的请求验证签名未进行验证的问题。该API用于从后端服务广播消息或获取有关给定通道的统计信息（例如连接数）等场景。这个问题只影响Pusher兼容的API端点，而不影响WebSocket连接本身。为了利用此漏洞，应用程序ID（不应暴露）必须被攻击者知道。此漏洞已在1.4. 0中修复。

解决建议

"将组件 laravel/reverb 升级至 1.4.0 及以上版本"

参考链接
https://github.com/laravel/reverb/commit/73cc140d76e803b151fc2dd2e4eb3eb784a82ee2
https://github.com/laravel/reverb/pull/252
https://github.com/laravel/reverb/releases/tag/v1.4.0
https://github.com/laravel/reverb/security/advisories/GHSA-pfrr-xvrf-pxjx

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型
CWE-347	密码学签名的验证不恰当

Exp相关链接

- avd.aliyun.com