CVE-2017-7312
KrytyczneStreszczenie
W systemie Personify360 e-Business w wersjach od 7.5.2 do 7.6.1 odkryto problem, który pozwala na dodawanie kont dostawców oraz odczytywanie istniejących danych kont dostawców, w tym nazw użytkowników i haseł, poprzez dostęp do URI /TabId/275.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa organizacji, umożliwiając nieautoryzowanym użytkownikom dostęp do wrażliwych danych kont dostawców.
Rekomendacja
Zaleca się ograniczenie dostępu do URI /TabId/275 oraz aktualizację systemu do najnowszej wersji, aby zminimalizować ryzyko związane z tą podatnością.
Inne podatności w Personify360 e-Business
Zobacz wszystkie- CVE-2017-7314Wysokie
W systemie Personify360 e-Business w wersjach od 7.5.2 do 7.6.1 odkryto problem, który umożliwia dostęp do listy tabel bazy danych oraz ich kolumn podczas tworzenia nowej roli pod adresem URI /TabId/275.
- CVE-2017-7313Wysokie
W systemie Personify360 e-Business w wersjach od 7.5.2 do 7.6.1 zidentyfikowano problem, który pozwala na odczytanie danych klientów, takich jak imię, identyfikator klienta oraz adres e-mail, poprzez dostęp do URI /TabId/275. Nie jest wymagana autoryzacja, co umożliwia każdemu wyszukiwanie użytkowników w systemie.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Personify360 e-Business 7.5.2 through 7.6.1. When going to the /TabId/275 URI, anyone can add a vendor account or read existing vendor account data (including usernames and passwords).