CVE-2017-13129

Wysokie

Opublikowano: 26/09/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Podatność CSRF w ZKTeco ZKTime Web 2.0.1.12280 umożliwia zdalnym, uwierzytelnionym użytkownikom przejęcie autoryzacji administratorów przy dodawaniu nowych administratorów, z powodu braku tokenów anty-CSRF.

Ocena ryzyka

Organizacja może być narażona na nieautoryzowane zmiany w uprawnieniach administratorów, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Rekomendacja

Zaleca się wprowadzenie tokenów anty-CSRF w aplikacji oraz przegląd istniejących uprawnień użytkowników, aby zminimalizować ryzyko.

Inne podatności w ZKTeco ZKTime Web 2.0.1.12280

CVE-2017-14680Wysokie
ZKTeco ZKTime Web w wersji 2.0.1.12280 umożliwia zdalnym atakującym uzyskanie wrażliwych metadanych pracowników poprzez bezpośrednie żądanie dokumentu PDF.

Oryginalny opis (angielski, źródło NVD)

Cross-site request forgery (CSRF) vulnerability in ZKTeco ZKTime Web 2.0.1.12280 allows remote authenticated users to hijack the authentication of administrators for requests that add administrators by leveraging lack of anti-CSRF tokens.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS