目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2022-21706— Zulip server 安全漏洞

一分钟漏洞结论

影响对象
zulip zulip
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Zulip server是美国Zulip公司的一款开源的团队聊天应用程序。 Zulip server存在安全漏洞，该漏洞源于。驻留多个组织的zlip Server部署很容易受到攻击，在一个组织中创建的邀请(可能是一个具有较高权限的角色)可以被用来加入任何其他组织。这绕过了对用户电子邮件地址所需域的任何限制，可以用来获得对只有邀请才能访问的组织的访问权。

CVSS 7.2 · High EPSS 1.21% · P67
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2022-21706 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Multi-use invitations can grant access to other organizations in Zulip
来源: CVE Program / CVE List V5
Vulnerability Description
Zulip is an open-source team collaboration tool with topic-based threading. Zulip Server version 2.0.0 and above are vulnerable to insufficient access control with multi-use invitations. A Zulip Server deployment which hosts multiple organizations is vulnerable to an attack where an invitation created in one organization (potentially as a role with elevated permissions) can be used to join any other organization. This bypasses any restrictions on required domains on users' email addresses, may be used to gain access to organizations which are only accessible by invitation, and may be used to gain access with elevated privileges. This issue has been patched in release 4.10. There are no known workarounds for this issue. ### Patches _Has the problem been patched? What versions should users upgrade to?_ ### Workarounds _Is there a way for users to fix or remediate the vulnerability without upgrading?_ ### References _Are there any links users can visit to find out more?_ ### For more information If you have any questions or comments about this advisory, you can discuss them on the [developer community Zulip server](https://zulip.com/developer-community/), or email the [Zulip security team](mailto:security@zulip.com).
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不正确
来源: CVE Program / CVE List V5
Vulnerability Title
Zulip server 安全漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Zulip server是美国Zulip公司的一款开源的团队聊天应用程序。 Zulip server存在安全漏洞，该漏洞源于。驻留多个组织的zlip Server部署很容易受到攻击，在一个组织中创建的邀请(可能是一个具有较高权限的角色)可以被用来加入任何其他组织。这绕过了对用户电子邮件地址所需域的任何限制，可以用来获得对只有邀请才能访问的组织的访问权。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

受影响产品

厂商 产品 影响版本 CPE 订阅
zulip zulip >= 2.0.0, < 4.10 -

二、漏洞 CVE-2022-21706 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2022-21706 的情报信息

请登录查看更多情报信息。

CVE-2022-21706 补丁与修复 (1)

CVE-2022-21706 厂商安全公告 (1)

CVE-2022-21706 安全博客文章 (2)

IV. Related Vulnerabilities

Same product: zulip
Same vendor: zulip
Same weakness: CWE-863

V. Comments for CVE-2022-21706

暂无评论

发表评论