CVE-2015-7563
WysokieStreszczenie
W podatności CVE-2015-7563 występuje luka CSRF w TeamPass w wersji 2.1.24 i wcześniejszych, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia zalogowanego użytkownika.
Ocena ryzyka
Atakujący mogą wykorzystać tę lukę do przejęcia kontroli nad kontem użytkownika, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację TeamPass do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających przeciwko atakom CSRF.
Inne podatności w TeamPass
Zobacz wszystkie- CVE-2017-15055Wysokie
Wersje TeamPass przed 2.1.27.9 nie egzekwują prawidłowo kontroli dostępu do elementów w pliku items.queries.php. Umożliwia to atakującemu kopiowanie dowolnych elementów, edytowanie ich w katalogach tylko do odczytu, usuwanie elementów oraz dostęp do historii i atrybutów katalogów.
- CVE-2017-15054Wysokie
W TeamPass przed wersją 2.1.27.9 występuje podatność na przesyłanie dowolnych plików, która pozwala zdalnym uwierzytelnionym użytkownikom na przesyłanie dowolnych plików, co prowadzi do zdalnego wykonania poleceń.
- CVE-2014-3773Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w TeamPass przed wersją 2.1.20 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w plikach PHP.
- CVE-2014-3772Wysokie
TeamPass w wersjach przed 2.1.20 pozwala zdalnym atakującym na obejście ograniczeń dostępu poprzez wysłanie żądania do index.php, a następnie bezpośrednie żądanie do pliku, który wywołuje funkcję session_start przed sprawdzeniem klucza CPM.
- CVE-2014-3771Wysokie
TeamPass przed wersją 2.1.20 pozwala zdalnym atakującym na obejście ograniczeń dostępu poprzez ścieżkę pliku językowego w żądaniu do index.php lub w żądaniu 'change_user_language' do sources/main.queries.php.
- CVE-2017-9436Krytyczne
TeamPass w wersjach przed 2.1.27.4 jest podatny na atak typu SQL injection w pliku users.queries.php.
Oryginalny opis (angielski, źródło NVD)
Cross-site request forgery (CSRF) vulnerability in TeamPass 2.1.24 and earlier allows remote attackers to hijack the authentication of an authenticated user.