CVE-2024-31218

Webhood versões 0.9.0 e anteriores

O Webhood é um verificador de URLs auto-hospedado utilizado para analisar sites de phishing e maliciosos. A vulnerabilidade permite que um invasor não autenticado envie uma solicitação HTTP à API de administração do banco de dados (Pocketbase) para criar uma conta de administrador. Isso é possível porque a API de administração do Pocketbase não verifica a autenticação/autorização ao criar uma conta de administrador se nenhuma conta de administrador tiver sido adicionada. Em sua implantação padrão, o Webhood não cria uma conta de administrador no banco de dados, tornando a implantação vulnerável, a menos que os usuários tenham criado manualmente uma conta de administrador.

Para as versões 0.9.0 e anteriores, atualize para a versão 0.9.1 ou posterior, que cria uma conta de administrador gerada aleatoriamente caso ainda não tenham sido criadas contas de administrador, corrigindo assim a vulnerabilidade.

Como solução alternativa temporária para as versões 0.9.0 e anteriores, considere desativar totalmente o acesso ao caminho de URL que começa com /api/admins para impedir a exploração via rede.