HotGoにSMSログインの認証回避の脆弱性、修正も公開
Summary
HotGoの2.15.1までに、SMS認証コードを外部から指定でき、電話番号を知られると管理者を含むアカウントを乗っ取られる脆弱性が見つかりました。利用中なら版を確認して修正を取り込み、更新まではSMSログインの経路を遮断してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
HotGoの2.15.1までに、SMS認証コードを外部から指定でき、電話番号を知られると管理者を含むアカウントを乗っ取られる脆弱性が見つかりました。利用中なら版を確認して修正を取り込み、更新まではSMSログインの経路を遮断してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| bufanyun | HotGo |
2.8.4 – 2.15.1 |
— |
Original description The description as published by the source.
HotGo 2.8.4 through 2.15.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to choose the SMS login verification code by supplying the Code field to /admin/sms/send. Attackers who know a user's mobile number can set a known code and sign in through /admin/site/mobileLogin to take over accounts, including administrators.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- report github.com
- report vul.yulun.ac.cn
- web github.com
- web github.com
- web vul.yulun.ac.cn
- web github.com