CVE-2024-48955_نظرة عامة

الوصف:

Netadmin 4 IAM مع ثغرات في التحكم في الوصول.

الإصدار المتأثر: V4.030319

يقوم نظام NetAdmin بإرجاع البيانات مع الوظائف في نقطة النهاية التي 'تركب' قوائم الوظائف، ولا يتم تشفير استجابة هذا الاستدعاء، وبما أن النظام لا يتحقق من صلاحية الجلسة، يمكن للمهاجم نسخ محتوى متصفح المستخدم ذي الامتياز الأعلى للوصول إلى وظائف المستخدم الذي تم نسخ الكود منه.

نوع الثغرة

التحكم في الوصول المعطل

درجة CVSS ونواقل الهجوم

الدرجة الأساسية: 7.6
النواقل: https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

التحقق من الثغرة:

يمكن للمهاجم المصادق عليه تغيير استجابة الاستدعاء الذي يقوم به النظام لتقديم شاشة المستخدم، وبالتالي الوصول إلى الوظائف الإدارية.

الحل

حالة الإصلاح: [قيد الاعتماد]

تعليمات التخفيف:

• طلب تحديث الإصدار من المورد

المراجع:

• CWE-863: Incorrect Authorization
• CWE-862: Missing Authorization
• CWE-284: Improper Access Control
• CWE-639: Authorization Bypass Through User-Controlled Key