WBCE CMS - это система управления контентом. Версии 1.6.4 и ниже используют функцию GenerateRandomPassword() для создания паролей с использ…
WBCE CMS - это система управления контентом. Версии 1.6.4 и ниже используют функцию GenerateRandomPassword() для создания паролей с использованием PHP rand(). rand() не является криптографически безопасным, что позволяет прогнозировать или грубить последовательности паролей. Это может привести к компрометации учетной записи пользователя или эскалации привилегий, если эти пароли используются для новых учетных записей или сброса паролей. Уязвимость исправлена в версии 1.6.5.
Продукт применяет алгоритм или схему, генерирующую недостаточную энтропию, оставляя паттерны или кластеры значений, более вероятных, чем другие.
https://cwe.mitre.org/data/definitions/331.html →Открыть в коллекции CWE →Данная атака направлена на предсказуемые идентификаторы сеанса с целью получения привилегий. Злоумышленник может предсказать идентификатор сеанса, используемый во время транзакции, и применить его для подделки личности и перехвата сеанса.
https://capec.mitre.org/data/definitions/59.html →Открыть в коллекции CAPEC →