CVE-2023-49978

Customer Support System 1.0 - Control de Acceso Incorrecto

Descripción: El control de acceso incorrecto en Customer Support System v1 permite que usuarios no administradores accedan a páginas administrativas y ejecuten acciones reservadas para administradores.

Versión del Producto Vulnerable: Customer Support System 1.0
Autor del CVE: Geraldo Alcântara
Fecha: 29/11/2023
Confirmado el: 15/12/2023
CVE: CVE-2023-49978
Probado en: Windows

Pasos para reproducir:

Para explotar esta vulnerabilidad, un atacante necesita un usuario con bajos privilegios. Luego, simplemente tiene que acceder directamente a las URLs con funciones administrativas a través de un navegador web. Es posible que el usuario modifique atributos de otros usuarios, incluyendo contraseñas, eliminar usuarios, etc.

Ejemplos de Páginas Administrativas Accesibles a Usuarios No Administradores y Acciones que Pueden Realizar:

• /customer_support/index.php?page=staff_list -> Editar/Eliminar Usuarios del Personal
• /customer_support/index.php?page=new_staff -> Agregar Nuevo Usuario del Personal
• /customer_support/index.php?page=customer_list -> Editar/Eliminar Usuarios Clientes

Descubridor(es)/Créditos:
Geraldo Alcântara