CVE-2017-7313
WysokieStreszczenie
W systemie Personify360 e-Business w wersjach od 7.5.2 do 7.6.1 zidentyfikowano problem, który pozwala na odczytanie danych klientów, takich jak imię, identyfikator klienta oraz adres e-mail, poprzez dostęp do URI /TabId/275. Nie jest wymagana autoryzacja, co umożliwia każdemu wyszukiwanie użytkowników w systemie.
Ocena ryzyka
Brak autoryzacji przy dostępie do danych klientów stwarza poważne ryzyko naruszenia prywatności oraz bezpieczeństwa danych osobowych. Organizacja może być narażona na ataki związane z kradzieżą tożsamości lub innymi formami nadużyć.
Rekomendacja
Zaleca się natychmiastowe wprowadzenie mechanizmów autoryzacji dla dostępu do wrażliwych danych klientów oraz aktualizację systemu do najnowszej wersji, aby zminimalizować ryzyko.
Inne podatności w Personify360 e-Business
Zobacz wszystkie- CVE-2017-7314Wysokie
W systemie Personify360 e-Business w wersjach od 7.5.2 do 7.6.1 odkryto problem, który umożliwia dostęp do listy tabel bazy danych oraz ich kolumn podczas tworzenia nowej roli pod adresem URI /TabId/275.
- CVE-2017-7312Krytyczne
W systemie Personify360 e-Business w wersjach od 7.5.2 do 7.6.1 odkryto problem, który pozwala na dodawanie kont dostawców oraz odczytywanie istniejących danych kont dostawców, w tym nazw użytkowników i haseł, poprzez dostęp do URI /TabId/275.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Personify360 e-Business 7.5.2 through 7.6.1. When going to the /TabId/275 URI, it is possible to read any customer name, master Customer Id, and email address. In other words, anyone can search for users/customers in the system - no authentication is required.