Flarum Extension Manager 2.0.0-beta.1 before 2.0.0-beta.8 lacks authentication and admin checks on the TaskResource index endpoint, allowing unauthenticated information disclosure. Remote attackers can send GET requests to /api/extension-manager-tasks to read task output revealing filesystem paths, installed extensions, versions, and PHP version.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
flarum:extension manager
Ссылки 5
https://github.com/flarum/framework/issues/4386
NVD
https://github.com/flarum/framework/commit/257989e71fd8cc7ddab20f31dcde1aa760b1…
NVD
https://github.com/flarum/framework/releases/tag/v2.0.0-beta.8
Flarum v2.0.0-beta.8 Release Notes
https://github.com/flarum/framework/blob/v2.0.0-beta.6/extensions/package-manag…
NVD
https://www.vulncheck.com/advisories/flarum-extension-manager-2.0.0-beta.1-befo…
VulnCheck Advisory: Flarum Extension Manager 2.0.0-beta.1 before 2.0.0-beta.8 Missing Authorization via Task API