CVE-2017-7411

Wysokie

Opublikowano: 30/10/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W Enalean Tuleap w wersji 9.6 i wcześniejszych zidentyfikowano problem związany z metodą User::getRecentElements(), która wykorzystuje funkcję unserialize() z manipulowalną wartością preferencji. Może to prowadzić do wstrzykiwania dowolnych obiektów PHP do kontekstu aplikacji.

Ocena ryzyka

Podatność ta umożliwia atakującym przeprowadzenie różnych ataków, w tym zdalne wykonanie kodu, co stanowi poważne zagrożenie dla bezpieczeństwa systemu.

Rekomendacja

Zaleca się aktualizację Enalean Tuleap do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do REST API tylko dla zaufanych użytkowników.

Inne podatności w Enalean Tuleap

CVE-2014-7178Wysokie
Enalean Tuleap w wersjach przed 7.5.99.6 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą nagłówka User-Agent, który jest przekazywany do funkcji passthru PHP.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in Enalean Tuleap 9.6 and prior versions. The vulnerability exists because the User::getRecentElements() method is using the unserialize() function with a preference value that can be arbitrarily manipulated by malicious users through the REST API interface, and this can be exploited to inject arbitrary PHP objects into the application scope, allowing an attacker to perform a variety of attacks (including but not limited to Remote Code Execution).