CVE-2017-11681

Wysokie

Opublikowano: 27/07/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Podatność CVE-2017-11681 w Hashtopussy 0.4.0 dotyczy niewłaściwej kontroli dostępu, która pozwala zdalnym użytkownikom z autoryzacją na wykonywanie działań zarezerwowanych dla ról administracyjnych, co zostało udowodnione przez żądanie action=createVoucher do agents.php.

Ocena ryzyka

Ryzyko dla organizacji polega na tym, że zdalni użytkownicy mogą uzyskać dostęp do funkcji administracyjnych, co może prowadzić do nieautoryzowanych działań i potencjalnych naruszeń bezpieczeństwa.

Rekomendacja

Zaleca się aktualizację Hashtopussy do najnowszej wersji, aby naprawić tę podatność oraz przegląd i wzmocnienie kontroli dostępu w aplikacji.

Inne podatności w Hashtopussy 0.4.0

CVE-2017-11680Wysokie
W Hashtopussy 0.4.0 występuje podatność typu Cross-Site Request Forgery (CSRF), która umożliwia zmianę hasła administratora przez plik users.php.

Oryginalny opis (angielski, źródło NVD)

Incorrect Access Control vulnerability in Hashtopussy 0.4.0 allows remote authenticated users to execute actions that should only be available for administrative roles, as demonstrated by an action=createVoucher request to agents.php.