遠端主機上安裝的 ZenML 版本比 0.57.0舊。因此會受到一個帳戶接管風險影響這是因為密碼變更功能缺少速率限制所導致。攻擊者可暴力密碼破解「更新密碼」功能中的目前密碼從而接管使用者的帳戶。此弱點是因為「/api/v1/current-user」端點上缺少速率限制所致這不會限制攻擊者嘗試猜測目前密碼的次數。若成功惡意利用會導致攻擊者能夠變更密碼並控制帳戶。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

ZenML < 0.57.0 密碼重設暴力密碼破解 (CVE-2024-4311)

medium Nessus Plugin ID 213484

版本 1.1