Apache Answer 条件竞争漏洞复现 (CVE-2024-26578)

 免责声明 由于传播、利用本CSDN所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行承担！

一、产品介绍

Apache Answer 是一个开源的问答系统，它允许用户提交问题并由其他用户回答。

二、漏洞描述

Apache Answer 在 1.2.1 及之前版本中存在条件竞争漏洞。正常情况下，只能一个邮箱只能注册一次。但是攻击者可以利用脚本并发提交多个注册，可能会导致同时创建多个同名用户帐户。

三、漏洞危害

攻击者可以利用脚本进行并发添加，导致多次增加同名用户帐户。

四、影响范围

Apache Answer <= 1.2.1

五、环境搭建

环境前提：需要本机有docker环境

docker run -d -p 9080:80 -v answer-data:/data --name answer apache/answer:1.2.1

访问 http://localhost:9080/install 路径，进行安装