LaraDashboard 1.4.2 before 1.4.8 applies advanced email validation to unauthenticated forgot-password and reset-password requests, triggering DNS lookups and paid AbstractAPI verification calls. Unauthenticated attackers can submit arbitrary addresses to exhaust the verification quota, making validation fail open for all public forms, and probe domain resolution.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 11
https://github.com/laradashboard/laradashboard
disclosure@vulncheck.com
https://github.com/laradashboard/laradashboard/blob/v1.4.2/app/Http/Requests/Au…
disclosure@vulncheck.com
https://github.com/laradashboard/laradashboard/blob/v1.4.2/app/Http/Requests/Au…
disclosure@vulncheck.com
https://github.com/laradashboard/laradashboard/blob/v1.4.2/app/Services/EmailDo…
disclosure@vulncheck.com
https://github.com/laradashboard/laradashboard/blob/v1.4.2/app/Services/EmailVe…
disclosure@vulncheck.com
https://github.com/laradashboard/laradashboard/commit/8babc803066a74c628fa01292…
disclosure@vulncheck.com
https://github.com/laradashboard/laradashboard/pull/339
disclosure@vulncheck.com
https://github.com/laradashboard/laradashboard/releases/tag/v1.4.8
disclosure@vulncheck.com
https://github.com/laradashboard/laradashboard/security/advisories/GHSA-5hq2-r2…
disclosure@vulncheck.com
https://github.com/laradashboard/laradashboard/security/advisories/GHSA-v36p-85…
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/laradashboard-1.4.2-before-1.4.8-resource-…
disclosure@vulncheck.com