CVE-2018-25391
WysokieStreszczenie
HaPe PKH w wersji 1.1 nie wymusza autoryzacji na punktach końcowych usuwania rekordów, co pozwala nieautoryzowanym atakującym na usunięcie dowolnych rekordów poprzez wysłanie spreparowanego żądania z identyfikatorem docelowego rekordu. Punkty końcowe admin/modul/mod_pengurus/aksi_pengurus.php oraz admin/modul/mod_update/aksi_update.php przetwarzają usunięcia bez weryfikacji uprawnień żądającego.
Ocena ryzyka
Brak weryfikacji uprawnień może prowadzić do nieautoryzowanego usunięcia ważnych rekordów, w tym danych administratorów, co stwarza poważne zagrożenie dla integralności systemu.
Rekomendacja
Zaleca się wprowadzenie odpowiednich mechanizmów autoryzacji na punktach końcowych usuwania rekordów, aby zapewnić, że tylko uprawnieni użytkownicy mogą wykonywać takie operacje.
Oryginalny opis (angielski, źródło NVD)
HaPe PKH 1.1 fails to enforce authorization on its record deletion endpoints, allowing unauthenticated attackers to delete arbitrary records by sending a crafted request that specifies the target record's id. The admin/modul/mod_pengurus/aksi_pengurus.php (module=pengurus&act=hapus) and admin/modul/mod_update/aksi_update.php (module=update&act=hapus) endpoints process deletions without verifying the requester's privileges, enabling removal of pengurus (administrator) and update records.