Vulnerabilidad en Socialstream (CVE-2024-56329)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-287
Autenticación incorrecta
Fecha de publicación:
20/12/2024
Última modificación:
20/12/2024
Descripción
Socialstream es un paquete de terceros para Laravel Jetstream. Reemplaza la autenticación publicada y el andamiaje de perfiles proporcionado por Laravel Jetstream, con un andamiaje que tiene soporte para Laravel Socialite. Al vincular una cuenta social a un usuario ya autenticado, la falta de un paso de confirmación introduce un riesgo de seguridad. Esto se agrava si se utiliza ->stateless() en la configuración de Socialite, lo que evita la verificación de estado y facilita la explotación. Los desarrolladores deben asegurarse de que los usuarios confirmen explícitamente la vinculación de la cuenta y evitar configuraciones que omitan controles de seguridad críticos. Socialstream v6.2 presenta una nueva ruta personalizada que requiere que un usuario "Confirme" o "Deniegue" una solicitud para vincular una cuenta social. Se recomienda a los usuarios que actualicen. No existen workarounds conocidas para esta vulnerabilidad.
Impacto
Puntuación base 4.0
8.90
Gravedad 4.0
ALTA