CVE-2024-48590

भेद्यता प्रकटीकरण: Inflectra SpiraTeam 7.2.00 में SSRF

विवरण

Inflectra SpiraTeam संस्करण 7.2.00, NewsReaderService घटक के माध्यम से सर्वर-साइड अनुरोध जालसाजी (SSRF) के लिए भेद्यता है।

भेद्यता प्रकार

सर्वर-साइड अनुरोध जालसाजी (SSRF)

विक्रेता

Inflectra

प्रभावित उत्पाद

SpiraTeam 7.2.00

प्रभावित घटक

NewsReaderService

हमले का प्रकार

दूरस्थ

प्रभाव

• विशेषाधिकार वृद्धि: हमलावरों को संभावित रूप से उच्च पहुंच स्तर प्राप्त करने की अनुमति देता है।
• सूचना प्रकटीकरण: होस्ट सिस्टम से संवेदनशील डेटा को उजागर करता है।

हमले के वेक्टर

एक हमलावर NewsReaderService को विशेष रूप से तैयार अनुरोध भेज सकता है, जिससे सर्वर अनजाने अनुरोध करने के लिए प्रेरित होता है। इससे SpiraTeam स्थापित होस्ट से प्रमाणीकरण हैश पर कब्जा हो सकता है।

संदर्भ

• OWASP: Server-Side Request Forgery

विक्रेता स्वीकृति

Inflectra ने इस भेद्यता के अस्तित्व की पुष्टि की है।

खोजकर्ता

Gareth Catterall https://www.anchorsec.co.uk

नोट

SpiraTeam 7.2.00 के उपयोगकर्ताओं को उत्पाद के नवीनतम संस्करण में अपडेट करने के लिए प्रोत्साहित किया जाता है।