CVE-2017-15576
WysokieStreszczenie
Redmine w wersjach przed 3.2.6 oraz 3.3.x przed 3.3.3 niewłaściwie obsługuje renderowanie wpisów czasowych w widokach aktywności, co pozwala zdalnym atakującym na uzyskanie poufnych informacji.
Ocena ryzyka
Atakujący mogą zdobyć wrażliwe dane, co może prowadzić do naruszenia prywatności użytkowników oraz bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Redmine do najnowszej wersji, aby usunąć tę podatność.
Inne podatności w Redmine
Zobacz wszystkie- CVE-2017-15577Wysokie
Redmine w wersjach przed 3.2.6 oraz 3.3.x przed 3.3.3 niewłaściwie obsługuje renderowanie linków wiki, co pozwala zdalnym atakującym na uzyskanie poufnych informacji.
- CVE-2017-15575Wysokie
W Redmine przed wersją 3.2.6 oraz 3.3.x przed wersją 3.3.3 brakuje sprawdzenia, czy moduł Repozytorium jest włączony w ustawieniach projektu. Może to umożliwić zdalnym atakującym uzyskanie wrażliwych informacji o różnicach lub spowodować inne nieokreślone skutki.
- CVE-2017-15572Wysokie
W Redmine przed wersją 3.2.6 oraz 3.3.x przed wersją 3.3.3, zdalni atakujący mogą uzyskać wrażliwe informacje (tokeny resetowania hasła) poprzez odczytanie logu Referer, ponieważ konto/lost_password nie używa przekierowania.
Oryginalny opis (angielski, źródło NVD)
Redmine before 3.2.6 and 3.3.x before 3.3.3 mishandles Time Entry rendering in activity views, which allows remote attackers to obtain sensitive information.