CVE-2015-2142

Wysokie

Opublikowano: 06/10/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Wielokrotne podatności typu cross-site request forgery (CSRF) w phpBugTracker przed wersją 1.7.0 umożliwiają zdalnym uwierzytelnionym użytkownikom przejęcie autoryzacji innych użytkowników w różnych kontekstach, takich jak projekty, grupy, statusy, powagi, priorytety, systemy operacyjne oraz bazy danych.

Ocena ryzyka

Atakujący może wykorzystać te podatności do przejęcia kontroli nad kontami użytkowników, co może prowadzić do nieautoryzowanych zmian w systemie i utraty danych.

Rekomendacja

Zaleca się aktualizację phpBugTracker do wersji 1.7.0 lub nowszej, aby usunąć te podatności oraz wdrożenie dodatkowych środków ochrony przed atakami CSRF.

Inne podatności w phpBugTracker

CVE-2015-2146Krytyczne
Wielokrotne podatności typu SQL injection w phpBugTracker przed wersją 1.7.0 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w plikach PHP.

Oryginalny opis (angielski, źródło NVD)

Multiple cross-site request forgery (CSRF) vulnerabilities in Issuetracker phpBugTracker before 1.7.0 allow remote authenticated users to (1) hijack the authentication of users for requests that cause an unspecified impact via the id parameter to project.php, (2) hijack the authentication of users for requests that cause an unspecified impact via the group_id parameter to group.php, (3) hijack the authentication of users for requests that delete statuses via the status_id parameter to status.php, (4) hijack the authentication of users for requests that delete severities via the severity_id parameter to severity.php, (5) hijack the authentication of users for requests that cause an unspecified impact via the priority_id parameter to priority.php, (6) hijack the authentication of users for requests that delete the operating system via the os_id parameter to os.php, (7) hijack the authentication of users for requests that delete databases via the database_id parameter to database.php, or