Zaloguj się
Deutsch English Español Polski
Wysoka

Incorrect Authorization in microweber

  • Ujawniono: 10.05.2022
  • Aktualizacja: 11.10.2026 10:22

Users Account Pre-Takeover or Users Account Takeover. in GitHub repository microweber/microweber prior to 1.2.15. Victim Account Take Over. Since, there is no email confirmation, an attacker can easily create an account in the application using the Victim’s Email. This allows an attacker to gain pre-authentication to the victim’s account. Further, due to the lack of proper validation of email coming from Social Login and failing to check if an account already exists, the victim will not identify if an account is already existing. Hence, the attacker’s persistence will remain. An attacker would be able to see all the activities performed by the victim user impacting the confidentiality and attempt to modify/corrupt the data impacting the integrity and availability factor. This attack becomes more interesting when an attacker can register an account from an employee’s email address. Assuming the organization uses G-Suite, it is much more impactful to hijack into an employee’s account.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer microweber/microweber < 1.2.15 1.2.15

Odnośniki

Ocena CVSS 8.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-284, CWE-863
Platforma
Composer
Paczka
microweber/microweber
Ujawniono
10.05.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-73rp-q4rx-5grc - CC BY 4.0

Historia podatności: microweber/microweber

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (106) w archiwum
Wszystkich wpisów
106
Pierwsza → ostatnia
10.2021 06.2026
Bez poprawki
31
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 27
  • Średnia 73
  • Niska 6

Ujawnienia w latach

Istotność:
  1. Microweber allows a remote attacker to obtain sensitive information via the HTTP GET method
    Wysoka · 7.5 CVE-2023-48122 >= 2.0.1, < 2.0.4 2.0.4
  2. Microweber file upload vulnerability
    Wysoka · 8.8 CVE-2023-49052 <= 2.0.4 brak poprawki
  3. Improper Privilege Management in microweber
    Wysoka · 8.8 CVE-2023-2240 < 1.3.4 1.3.4
  4. Microweber vulnerable to stored cross-site scripting (XSS) via X-Forwarded-For header
    Wysoka · 7.4 CVE-2023-1881 < 1.3.3 1.3.3
  5. Microweber vulnerable to unrestricted malicious uploads
    Wysoka · 7.2 CVE-2022-4732 < 1.3.2 1.3.2
  6. Account Takeover Through Password Reset Poisoning
    Wysoka · 8.8 CVE-2022-33012 <= 1.2.15 brak poprawki
  7. Microweber Discloses Sensitive Information
    Wysoka · 7.5 CVE-2020-13405 < 1.1.20 1.1.20
  8. Microweber allows Unrestricted File Upload
    Wysoka · 7.8 CVE-2020-13241 <= 1.1.18 brak poprawki
  9. Incorrect Authorization in microweber ten wpis
    Wysoka · 8.8 CVE-2022-1631 < 1.2.15 1.2.15
  10. Integer Overflow or Wraparound in Microweber
    Wysoka · 7.5 CVE-2022-1036 < 1.2.12 1.2.12
  11. Denial of service in microweber
    Wysoka · 7.1 CVE-2022-0961 <= 1.2.11 brak poprawki
  12. Integer Overflow in microweber
    Wysoka · 7.2 CVE-2022-0968 <= 1.2.11 brak poprawki
  13. Cross-site Scripting in microweber
    Wysoka · 4.8 CVE-2022-0930 < 1.2.12 1.2.12
  14. Integer Overflow or Wraparound in Microweber
    Wysoka · 7.5 CVE-2022-0913 < 1.2.12 1.2.12
  15. Static Code Injection in Microweber
    Wysoka · 7.7 CVE-2022-0895 < 1.3 1.3
  16. Improper Neutralization of Special Elements Used in a Template Engine in microweber
    Wysoka · 8.8 CVE-2022-0896 < 1.3 1.3
  17. Rate limit missing in microweber
    Wysoka · 7.5 CVE-2022-0777 < 1.3 1.3
  18. Insertion of Sensitive Information Into Debugging Code in Microweber
    Wysoka · 8.8 CVE-2022-0721 < 1.3 1.3
  19. Insecure Storage of Sensitive Information in Microweber
    Wysoka CVE-2022-0724 < 1.3 1.3
  20. Cross-site Scripting in Microweber
    Wysoka · 7.6 CVE-2022-0719 < 1.3 1.3
  21. Cross-site Scripting in microweber
    Wysoka · 8.8 CVE-2022-0690 < 1.2.11 1.2.11
  22. Generation of Error Message Containing Sensitive Information in microweber
    Wysoka · 7.5 CVE-2022-0660 < 1.2.11 1.2.11
  23. CRLF Injection in microweber
    Wysoka · 7.6 CVE-2022-0666 < 1.2.11 1.2.11
  24. OS Command Injection in Microweber
    Wysoka · 7.8 CVE-2022-0557 < 1.2.11 1.2.11
  25. Zip slip in Microweber
    Wysoka · 7.2 CVE-2020-28337 < 1.2.3 1.2.3
  26. Exposure of Sensitive Information to an Unauthorized Actor in microweber
    Wysoka · 7.5 CVE-2022-0281 < 1.2.11 1.2.11
  27. Code Injection in microweber
    Wysoka · 7.5 CVE-2022-0282 < 1.2.11 1.2.11

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.