CVE-2015-4594
KrytyczneStreszczenie
eClinicalWorks Population Health (CCMR) ma podatność na atak typu session fixation. Aplikacja nie przypisuje nowego identyfikatora sesji podczas uwierzytelniania użytkownika, co umożliwia wykorzystanie istniejącego identyfikatora sesji.
Ocena ryzyka
Atakujący może przejąć kontrolę nad sesją użytkownika, co prowadzi do nieautoryzowanego dostępu do danych i funkcji aplikacji. To może skutkować poważnymi naruszeniami bezpieczeństwa danych.
Rekomendacja
Zaleca się, aby aplikacja przypisywała nowy identyfikator sesji po każdym uwierzytelnieniu użytkownika. Należy również monitorować sesje użytkowników w celu wykrywania podejrzanych działań.
Inne podatności w eClinicalWorks Population Health (CCMR)
Zobacz wszystkie- CVE-2015-4593Wysokie
eClinicalWorks Population Health (CCMR) ma podatność typu cross-site request forgery (CSRF) w pliku portalUserService.jsp, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów treści. Może to prowadzić do tworzenia, modyfikacji i usuwania użytkowników, wizyt oraz pracowników.
- CVE-2015-4592Wysokie
eClinicalWorks Population Health (CCMR) ma podatność na wstrzykiwanie SQL w pliku portalUserService.jsp, co pozwala zdalnym uwierzytelnionym użytkownikom na wstrzykiwanie dowolnych złośliwych poleceń do bazy danych jako część danych wejściowych użytkownika.
Oryginalny opis (angielski, źródło NVD)
eClinicalWorks Population Health (CCMR) suffers from a session fixation vulnerability. When authenticating a user, the application does not assign a new session ID, making it possible to use an existent session ID.