ScadaBR 1.12.4 уязвим к фиксации сеанса. Приложение назначает файл cookie сеанса JSESSIONID неаутентифицированным пользователям и не восстанавливает идентификатор сеанса после успешной аутентификации. В результате сеанс, созданный до входа в систему, становится аутентифицированным, как только жертва входит в систему, что позволяет злоумышленнику, знающему идентификатор сеанса, перехватить аутентифицированный сеанс.
Показать оригинальное описание (EN)
ScadaBR 1.12.4 is vulnerable to Session Fixation. The application assigns a JSESSIONID session cookie to unauthenticated users and does not regenerate the session identifier after successful authentication. As a result, a session created prior to login becomes authenticated once the victim logs in, allowing an attacker who knows the session ID to hijack an authenticated session.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Scadabr Scadabr
cpe:2.3:a:scadabr:scadabr:1.12.4:*:*:*:*:*:*:*
|
— | — |