Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Socialstream (CVE-2024-56329)

Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-287 Autenticación incorrecta
Fecha de publicación:
20/12/2024
Última modificación:
20/12/2024

Descripción

Socialstream es un paquete de terceros para Laravel Jetstream. Reemplaza la autenticación publicada y el andamiaje de perfiles proporcionado por Laravel Jetstream, con un andamiaje que tiene soporte para Laravel Socialite. Al vincular una cuenta social a un usuario ya autenticado, la falta de un paso de confirmación introduce un riesgo de seguridad. Esto se agrava si se utiliza ->stateless() en la configuración de Socialite, lo que evita la verificación de estado y facilita la explotación. Los desarrolladores deben asegurarse de que los usuarios confirmen explícitamente la vinculación de la cuenta y evitar configuraciones que omitan controles de seguridad críticos. Socialstream v6.2 presenta una nueva ruta personalizada que requiere que un usuario "Confirme" o "Deniegue" una solicitud para vincular una cuenta social. Se recomienda a los usuarios que actualicen. No existen workarounds conocidas para esta vulnerabilidad.