CVE-2016-2171

Wysokie

Opublikowano: 11/04/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Usługa Menedżera Użytkowników w Apache Jetspeed przed wersją 2.3.1 nie ogranicza prawidłowo dostępu przy użyciu zabezpieczeń Jetspeed, co pozwala zdalnym atakującym na dodawanie, edytowanie lub usuwanie użytkowników za pomocą API REST.

Ocena ryzyka

Brak odpowiednich ograniczeń dostępu może prowadzić do nieautoryzowanych zmian w kontach użytkowników, co zagraża integralności systemu i danych organizacji.

Rekomendacja

Zaleca się aktualizację Apache Jetspeed do wersji 2.3.1 lub nowszej, aby naprawić tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczeń dla API.

Inne podatności w Apache Jetspeed

CVE-2016-0709Wysokie
Podatność typu directory traversal w funkcji importu/eksportu w Apache Jetspeed przed wersją 2.3.1 pozwala zdalnym, uwierzytelnionym administratorom na zapis do dowolnych plików, co może prowadzić do wykonania dowolnego kodu.

Oryginalny opis (angielski, źródło NVD)

The User Manager service in Apache Jetspeed before 2.3.1 does not properly restrict access using Jetspeed Security, which allows remote attackers to (1) add, (2) edit, or (3) delete users via the REST API.