کشف آسیب‌پذیری با شدت بالا در Pimcore

نرم‌افزار Pimcore یک پلتفرم مبتنی بر PHP سازمانی جهت مدیریت اطلاعات محصول، داده‌های اصلی، داده‌های مشتری، دارایی دیجیتال، مدیریت محتوا و مدیریت تجارت دیجیتال است. یک آسیب‌پذیری در  pimcore/admin-ui-classic-bundle کشف شده‌است که بسته (‌Bundle) کلاسیک ادمین، یک رابط کاربری Backend را برای Pimcore فراهم می‌کند. این آسیب‌پذیری با شناسه‌ CVE-2024-25625 و شدت بالا 8.1 شامل تزریق سربرگ میزبان (Host Header Injection) در تابع «invitationLinkActio» در UserController می‌باشد، به‌ویژه در روشی که پارامتر «$loginUrl» به ورودی کاربر اعتماد می‌کند. هنگام تولید URL، سربرگ (Header) میزبان درخواست‌های HTTP ورودی، به شکل ناامنی پردازش می‌شود که همین امر سبب می‌شود مهاجم بتواند سربرگ میزبان HTTP را در درخواست‌های ارسالی به admin/user/invitationlink دستکاری کند که منجر به تولید URLهایی می‌شود که به دامنه مهاجم اشاره می‌کنند. در واقع، اگر یک سربرگ میزبان به درخواست POST تزریق شود، پارامتر $loginURL با این سربرگ نامعتبر ساخته می‌شود و برای ارسال یک ایمیل دعوت به کاربر قربانی استفاده می شود. از این آسیب‌پذیری می‌توان برای انجام حملات فیشینگ (سرقت اطلاعات) استفاده کرد چراکه نشانی‌های اینترنتی موجود در ایمیل‌های دعوت، ممکن است به دامنه‌ای که تحت کنترل مهاجم است اشاره ‌کنند.

محصولات تحت تأثیر
نسخه‌های قبل از pimcore/admin-ui-classic-bundle 1.3.4 نسبت به این نقص امنیتی آسیب‌پذیرند.

توصیه‌های امنیتی 
محققان به کاربران توصیه می‌کنند در اسرع وقت نسبت به ارتقاء به نسخه‌ی 1.3.4 و همچنین اعتبارسنجی مناسب host header و حصول اطمینان از مطابقت آن با دامنه پیش فرض اقدام نمایند. 
 
منابع خبر:

[1] https://nvd.nist.gov/vuln/detail/CVE-2024-25625 
[2] https://github.com/pimcore/admin-ui-classic-bundle/security/advisories/GHSA-3qpq-6w89-f7mx