CVE-2024-48590

Divulgation de vulnérabilité : SSRF dans Inflectra SpiraTeam 7.2.00

Description

Inflectra SpiraTeam version 7.2.00 est vulnérable à la falsification de requête côté serveur (SSRF) via le composant NewsReaderService.

Type de vulnérabilité

Falsification de requête côté serveur (SSRF)

Vendeur

Inflectra

Produit affecté

SpiraTeam 7.2.00

Composant affecté

NewsReaderService

Type d'attaque

À distance

Impacts

• Élévation de privilèges : Permet aux attaquants d'obtenir potentiellement des niveaux d'accès plus élevés.
• Divulgation d'informations : Expose des données sensibles du système hôte.

Vecteurs d'attaque

Un attaquant peut envoyer des requêtes spécialement conçues à NewsReaderService, incitant le serveur à effectuer des requêtes non intentionnelles. Cela peut conduire à la capture de hachages d'authentification depuis l'hôte où SpiraTeam est installé.

Références

• OWASP : Falsification de requête côté serveur

Reconnaissance du vendeur

Inflectra a confirmé l'existence de cette vulnérabilité.

Découvreur

Gareth Catterall https://www.anchorsec.co.uk

Note

Les utilisateurs de SpiraTeam 7.2.00 sont encouragés à mettre à jour vers la dernière version du produit.