CVE-2024-31218: Falta de Autenticación en Webhood ≤ 0.9.1

La gravedad de esta vulnerabilidad radica en la facilidad con la que un atacante puede obtener acceso administrativo completo a la instancia de Webhood. Al crear una cuenta de administrador sin autenticación, el atacante puede modificar la configuración, acceder a datos sensibles recopilados por el escáner de URL, e incluso utilizar Webhood para lanzar ataques adicionales. La falta de autenticación en la API de administración de Pocketbase, combinada con la configuración predeterminada de Webhood que no crea cuentas de administrador, crea una ventana de oportunidad crítica para la explotación. Un atacante podría, por ejemplo, modificar las reglas de escaneo para que ignoren ciertos sitios maliciosos, o robar información confidencial sobre las campañas de phishing detectadas.

Organizations utilizing Webhood for URL scanning, particularly those deploying it in self-hosted environments, are at significant risk. Shared hosting environments where Webhood is installed alongside other applications are especially vulnerable, as an attacker could potentially compromise the entire hosting account.

• docker: Inspect running containers for Webhood versions prior to 0.9.1. Use docker ps to identify containers and docker exec -it <container_id> sh to access the container's shell. Then, check the version using webhood --version. • generic web: Monitor access logs for requests to /api/admin/users without authentication headers. Look for POST requests to this endpoint originating from unusual IP addresses. • generic web: Monitor Pocketbase database logs for new admin user creation events. These logs typically contain timestamps and user details.

1. 2024-04-05Disclosure

   disclosure

1. Reservado2024-03-29
2. Publicada2024-04-05
3. Modificada2024-09-06
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-31218 es actualizar Webhood a la versión 0.9.1, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Una opción es restringir el acceso a la API de administración de Pocketbase mediante reglas de firewall o proxies inversos, limitando el acceso solo a direcciones IP confiables. Otra medida es implementar un sistema de autenticación robusto para la API de administración, incluso si no se requiere en la configuración predeterminada de Pocketbase. Después de la actualización, confirme que la API de administración requiere autenticación mediante una prueba de acceso no autenticado.