CVE-2017-15577
WysokieStreszczenie
Redmine w wersjach przed 3.2.6 oraz 3.3.x przed 3.3.3 niewłaściwie obsługuje renderowanie linków wiki, co pozwala zdalnym atakującym na uzyskanie poufnych informacji.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do wykradania wrażliwych danych, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację Redmine do najnowszej wersji, aby usunąć tę podatność.
Inne podatności w Redmine
Zobacz wszystkie- CVE-2017-15576Wysokie
Redmine w wersjach przed 3.2.6 oraz 3.3.x przed 3.3.3 niewłaściwie obsługuje renderowanie wpisów czasowych w widokach aktywności, co pozwala zdalnym atakującym na uzyskanie poufnych informacji.
- CVE-2017-15575Wysokie
W Redmine przed wersją 3.2.6 oraz 3.3.x przed wersją 3.3.3 brakuje sprawdzenia, czy moduł Repozytorium jest włączony w ustawieniach projektu. Może to umożliwić zdalnym atakującym uzyskanie wrażliwych informacji o różnicach lub spowodować inne nieokreślone skutki.
- CVE-2017-15572Wysokie
W Redmine przed wersją 3.2.6 oraz 3.3.x przed wersją 3.3.3, zdalni atakujący mogą uzyskać wrażliwe informacje (tokeny resetowania hasła) poprzez odczytanie logu Referer, ponieważ konto/lost_password nie używa przekierowania.
Oryginalny opis (angielski, źródło NVD)
Redmine before 3.2.6 and 3.3.x before 3.3.3 mishandles the rendering of wiki links, which allows remote attackers to obtain sensitive information.