CVE-2024-48955_概述

描述：

Netadmin 4 IAM 存在访问控制缺陷。

受影响版本：V4.030319

NetAdmin 系统在用于“组装”功能菜单的端点上返回数据，此调用的返回内容未加密，并且由于系统未验证会话授权，攻击者可以复制具有更高权限的用户浏览器内容，从而访问被复制代码的用户所具有的功能。

漏洞类型

访问控制失效

CVSS 分数与攻击向量

基础分数： 7.6
攻击向量： https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

漏洞验证：

已认证的攻击者可以修改系统用于渲染用户界面的调用返回内容，从而获得对管理功能的访问权限。

解决方案

修复状态：[正在验证中]

缓解措施：

• 向供应商请求版本更新

参考：

• CWE-863：授权不正确
• CWE-862：缺少授权
• CWE-284：不适当的访问控制
• CWE-639：通过用户控制的密钥绕过授权