CVE-2016-1189
WysokieStreszczenie
Cybozu Garoon w wersjach 3.x i 4.x przed 4.2.1 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dotyczących odczytu, tworzenia lub modyfikacji portletu za pomocą nieokreślonych wektorów.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane zmiany w portletach, co może prowadzić do naruszenia integralności danych oraz nieautoryzowanego dostępu do informacji.
Rekomendacja
Zaleca się aktualizację Cybozu Garoon do wersji 4.2.1 lub nowszej, aby usunąć tę podatność.
Inne podatności w Cybozu Garoon
Zobacz wszystkie- CVE-2016-7803Wysokie
Podatność na wstrzykiwanie SQL w Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym, uwierzytelnionym atakującym na wykonywanie dowolnych poleceń SQL za pomocą funkcji 'MultiReport'.
- CVE-2016-4907Wysokie
Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym atakującym na uzyskanie tokenów CSRF za pomocą nieokreślonych wektorów.
- CVE-2016-1218Wysokie
W podatności CVE-2016-1218 występuje luka typu SQL injection w Cybozu Garoon przed wersją 4.2.2.
- CVE-2016-1193Wysokie
Cybozu Garoon w wersjach od 3.7 do 4.2 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji dotyczących odczytu e-maili poprzez nieokreślone wektory.
- CVE-2015-5646Wysokie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP poprzez nieokreślone wektory.
- CVE-2015-5649Wysokie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 niewłaściwie obsługuje żądania uwierzytelnienia, co pozwala zdalnym, uwierzytelnionym użytkownikom przeprowadzać ataki LDAP injection. W rezultacie mogą oni obejść zamierzone ograniczenia logowania lub uzyskać dostęp do wrażliwych informacji, wykorzystując określone uprawnienia administracyjne grupy.
- CVE-2014-1996Wysokie
Cybozu Garoon 3.7 przed SP4 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu oraz na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez wywołanie API.
- CVE-2016-1219Krytyczne
Cybozu Garoon w wersjach przed 4.2.2 pozwala zdalnym atakującym na ominięcie uwierzytelniania logowania poprzez wykorzystanie interfejsu API.
- CVE-2026-57279Średnie
Cybozu Garoon zawiera podatność na cross-site scripting. Jeśli zostanie wykorzystana, może zostać wykonany dowolny skrypt w przeglądarce internetowej zalogowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Cybozu Garoon 3.x and 4.x before 4.2.1 allows remote authenticated users to bypass intended restrictions on reading, creating, or modifying a portlet via unspecified vectors.