CVE-2023-49978

نظام دعم العملاء 1.0 - تحكم غير صحيح في الوصول

الوصف: يسمح التحكم غير الصحيح في الوصول في نظام دعم العملاء الإصدار 1 للمستخدمين غير المسؤولين بالوصول إلى الصفحات الإدارية وتنفيذ إجراءات محجوزة للمسؤولين.

إصدار المنتج المعرض للخطر: نظام دعم العملاء 1.0
مؤلف CVE: Geraldo Alcântara
التاريخ: 29/11/2023
تم التأكيد في: 15/12/2023
CVE: CVE-2023-49978
تم الاختبار على: Windows

خطوات إعادة الإنتاج:

لاستغلال هذه الثغرة، يحتاج المهاجم إلى مستخدم بصلاحيات منخفضة. بعد ذلك، يحتاج فقط إلى الوصول مباشرة إلى عناوين URL التي تحوي وظائف إدارية عبر متصفح ويب. يمكن للمستخدم تعديل سمات المستخدمين الآخرين، بما في ذلك كلمات المرور، وحذف المستخدمين، وما إلى ذلك.

أمثلة على الصفحات الإدارية التي يمكن للمستخدمين غير المسؤولين الوصول إليها والإجراءات التي يمكنهم تنفيذها:

• /customer_support/index.php?page=staff_list -> تعديل/حذف مستخدمي الموظفين
• /customer_support/index.php?page=new_staff -> إضافة مستخدم موظف جديد
• /customer_support/index.php?page=customer_list -> تعديل/حذف مستخدمي العملاء

المكتشف(ون)/الاعتمادات:
Geraldo Alcântara