CVE-2017-15575
WysokieStreszczenie
W Redmine przed wersją 3.2.6 oraz 3.3.x przed wersją 3.3.3 brakuje sprawdzenia, czy moduł Repozytorium jest włączony w ustawieniach projektu. Może to umożliwić zdalnym atakującym uzyskanie wrażliwych informacji o różnicach lub spowodować inne nieokreślone skutki.
Ocena ryzyka
Brak odpowiednich zabezpieczeń może prowadzić do ujawnienia wrażliwych danych, co stwarza ryzyko dla bezpieczeństwa projektów w Redmine.
Rekomendacja
Zaleca się aktualizację Redmine do najnowszej wersji oraz weryfikację ustawień modułu Repozytorium w projektach.
Inne podatności w Redmine
Zobacz wszystkie- CVE-2017-15577Wysokie
Redmine w wersjach przed 3.2.6 oraz 3.3.x przed 3.3.3 niewłaściwie obsługuje renderowanie linków wiki, co pozwala zdalnym atakującym na uzyskanie poufnych informacji.
- CVE-2017-15576Wysokie
Redmine w wersjach przed 3.2.6 oraz 3.3.x przed 3.3.3 niewłaściwie obsługuje renderowanie wpisów czasowych w widokach aktywności, co pozwala zdalnym atakującym na uzyskanie poufnych informacji.
- CVE-2017-15572Wysokie
W Redmine przed wersją 3.2.6 oraz 3.3.x przed wersją 3.3.3, zdalni atakujący mogą uzyskać wrażliwe informacje (tokeny resetowania hasła) poprzez odczytanie logu Referer, ponieważ konto/lost_password nie używa przekierowania.
Oryginalny opis (angielski, źródło NVD)
In Redmine before 3.2.6 and 3.3.x before 3.3.3, Redmine.pm lacks a check for whether the Repository module is enabled in a project's settings, which might allow remote attackers to obtain sensitive differences information or possibly have unspecified other impact.