CVE-2023-49978

Customer Support System 1.0 - 부적절한 접근 제어

설명: Customer Support System v1의 부적절한 접근 제어로 인해 비관리자 사용자가 관리자 페이지에 접근하고 관리자에게만 허용된 작업을 수행할 수 있습니다.

취약한 제품 버전: Customer Support System 1.0
CVE 작성자: Geraldo Alcântara
날짜: 29/11/2023
확인 날짜: 15/12/2023
CVE: CVE-2023-49978
테스트 환경: Windows

재현 단계:

이 취약점을 악용하려면 공격자는 낮은 권한의 사용자가 필요합니다. 그 후에는 웹 브라우저를 통해 관리 기능이 있는 URL에 직접 접근하기만 하면 됩니다. 사용자는 다른 사용자의 속성(비밀번호 포함)을 수정하거나 사용자를 삭제하는 등의 작업을 수행할 수 있습니다.

비관리자 사용자가 접근할 수 있는 관리자 페이지 및 수행 가능한 작업 예시:

• /customer_support/index.php?page=staff_list -> 직원 사용자 편집/삭제
• /customer_support/index.php?page=new_staff -> 새 직원 사용자 추가
• /customer_support/index.php?page=customer_list -> 고객 사용자 편집/삭제

발견자/크레딧:
Geraldo Alcântara