CVE-2015-4499

Wysokie

Opublikowano: 14/09/2015(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

Util.pm w Bugzilli 2.x, 3.x i 4.x przed wersją 4.2.15, 4.3.x i 4.4.x przed wersją 4.4.10 oraz 5.x przed wersją 5.0.1 niewłaściwie obsługuje długie adresy e-mail podczas rejestracji konta. Umożliwia to zdalnym atakującym uzyskanie domyślnych uprawnień dla dowolnej nazwy domeny poprzez umieszczenie tej nazwy w podciągu adresu.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do kont użytkowników, co może prowadzić do naruszenia bezpieczeństwa danych w organizacji.

Rekomendacja

Zaleca się aktualizację Bugzilli do najnowszej wersji, aby usunąć tę podatność oraz przegląd polityki rejestracji kont użytkowników w celu zwiększenia bezpieczeństwa.

Inne podatności w Bugzilla

CVE-2000-0421Wysokie
Skrypt process_bug.cgi w Bugzilli umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą metaznaków powłoki.

Oryginalny opis (angielski, źródło NVD)

Util.pm in Bugzilla 2.x, 3.x, and 4.x before 4.2.15, 4.3.x and 4.4.x before 4.4.10, and 5.x before 5.0.1 mishandles long e-mail addresses during account registration, which allows remote attackers to obtain the default privileges for an arbitrary domain name by placing that name in a substring of an address, as demonstrated by truncation of an @mozilla.com.example.com address to an @mozilla.com address.