Descripción
IceCMS hasta la versión 4.1.5 contiene una vulnerabilidad de falta de autenticación que permite a atacantes no autenticados modificar, eliminar o deshabilitar cualquier cuenta, debido a que /User/** está excluido del filtro jwt de Shiro. Los atacantes pueden enviar solicitudes PUT a /User/updateUser para establecer una nueva contraseña y rol en cualquier userId, incluidos administradores, lo que permite tomar el control total de la cuenta.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- IceCMS Afectadas: hasta 4.1.5
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso de hackmd.iohackmd.io/@hieuPenguinnn/icecms-backend-user-admin-unauth-account-tak…
- Referencia en github.comgithub.com/Thecosy/IceCMS/blob/afd7a9f0d04a714e7c7e735e566c27f54b5d52…
- Referencia en github.comgithub.com/Thecosy/IceCMS/blob/afd7a9f0d04a714e7c7e735e566c27f54b5d52…
- Referencia en github.comgithub.com/Thecosy/IceCMS
- Aviso de vulncheck.comvulncheck.com/advisories/icecms-through-4.1.5-missing-authentication-…
Ver el texto original en inglés (CVE.org)
IceCMS through 4.1.5 Missing Authentication via /User Administrative Endpoints
IceCMS through 4.1.5 contains a missing authentication vulnerability that allows unauthenticated attackers to modify, delete, or disable any account because /User/** is excluded from the Shiro jwt filter. Attackers can send PUT requests to /User/updateUser to set a new password and role on any userId, including administrators, enabling full account takeover.