SMTP misconfiguration leading to "Forgot Password" exploit that leaks registered user email.

中 5.3CVE-2023-49274 · GHSA-8qp8-9rpw-j46c · 12/12/2023 公開 · 17/06/2026 更新

要点

CVE-2023-49274 は Umbraco.CMS, umbraco cms (umbraco) に影響する深刻度「中」 (CVSS 5.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.46%（全脆弱性の 39.9% より高い）。
対処：12.3.4, 8.18.10, 10.8.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
Umbraco.CMS NuGet	`≥ 11.0.0, < 12.3.4≥ 8.0.0, < 8.18.10≥ 9.0.0, < 10.8.1`	`12.3.48.18.1010.8.1`
umbraco cms umbraco	`≥ 10.0.0, < 10.8.1≥ 12.0.0, < 12.3.4≥ 8.0.0, < 8.18.10`	`10.8.112.3.48.18.10`

概要

Impact

A user enumeration attack is possible when SMTP is not setup correctly, but reset password is enabled

Explanation of the vulnerability

Two different error messages was shown, based on if the user exists or not when using the forgot password functionality, when the SMTP was configured but do not response.

NVD の説明

Umbraco is an ASP.NET content management system (CMS). Starting in version 8.0.0 and prior to versions 8.18.10, 10.8.1, and 12.3.4, a user enumeration attack is possible when SMTP is not set up correctly, but reset password is enabled. Versions 8.18.10, 10.8.1, and 12.3.4 contain a patch for this issue.

参考情報

umbraco/Umbraco-CMS security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2023-49274 · ADVISORY
umbraco/Umbraco-CMS · PACKAGE

Umbraco.CMS のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

Umbraco.CMS

NuGet

≥ 11.0.0, < 12.3.4≥ 8.0.0, < 8.18.10≥ 9.0.0, < 10.8.1

12.3.48.18.1010.8.1

umbraco cms

umbraco

≥ 10.0.0, < 10.8.1≥ 12.0.0, < 12.3.4≥ 8.0.0, < 8.18.10

10.8.112.3.48.18.10

概要