CVE-2023-40570
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Datasette to otwarte narzędzie do eksploracji i publikacji danych, które ma lukę w wersjach 1.0 alpha - 1.0a3. Problem dotyczy ujawnienia nazw baz danych i tabel w punkcie końcowym API eksploratora, co może nastąpić w przypadku braku uwierzytelnienia użytkownika.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie struktury swoich baz danych, co może prowadzić do dalszych ataków lub nieautoryzowanego dostępu do danych. Ujawnienie nazw baz danych i tabel może ułatwić atakującym planowanie ataków.
Rekomendacja
Zaleca się aktualizację do wersji 1.0a4, która naprawia tę lukę, blokując dostęp do eksploratora API. Należy również monitorować dostęp do API JSON, aby zapewnić, że nie są one narażone na nieautoryzowany dostęp.
Oryginalny opis (angielski, źródło NVD)
Datasette is an open source multi-tool for exploring and publishing data. This bug affects Datasette instances running a Datasette 1.0 alpha - 1.0a0, 1.0a1, 1.0a2 or 1.0a3 - in an online accessible location but with authentication enabled using a plugin such as datasette-auth-passwords. The `/-/api` API explorer endpoint could reveal the names of both databases and tables - but not their contents - to an unauthenticated user. Datasette 1.0a4 has a fix for this issue. This will block access to the API explorer but will still allow access to the Datasette read or write JSON APIs, as those use different URL patterns within the Datasette `/database` hierarchy. This issue is patched in version 1.0a4.