CVE-2026-116683

Mở trang đầy đủ

CVSS 7.1 HIGH

CTFer.io's CTFd Terraform Provider allows a local or remote attacker to read team passwords in state as non sensitive values

Mã khác
GHSA-vg84-c5mg-76xh
Công bố
Cập nhật
Lần đầu thấy
Nguồn
GitHub Advisory, NVD, CVE.org, OSV.dev

Mô tả

Impact

CTFer.io's CTFd Terraform Provider stores ctfd_team.password as non-sensitive values (CWE-522). A local or remote attacker, who can have access to the Terraform state, can read team passwords without the need for the state password for decryption.

Patches

Patched in v2.8.2.

Workarounds

No workaround exist, yet CTFer.io recommends you keep your state in safe environments with a limited set of users who can access it as a good practice to avoid exploitation of this vulnerability.

Điểm và phân loại

CVSS
7.1 HIGH v4.0
Nguồn điểm
NVD
Mức độ (theo nguồn)
HIGH
EPSS
0.38%
CWE
CWE-522

Vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Ảnh hưởng

Package Bản bị ảnh hưởng Bản đã sửa
go github.com/ctfer-io/terraform-provider-ctfd >= 0.1.5, <= 1.1.0 Chưa có bản sửa
go github.com/ctfer-io/terraform-provider-ctfd/v2 < 2.8.2 2.8.2

Sản phẩm

  • ctfer-io terraform-provider-ctfd

Vì sao bị lọc

  • CVSS 7.1 < 8.0 và không thuộc CISA KEV

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
GitHub_M
OSV.dev · ID
GHSA-vg84-c5mg-76xh

Tham khảo