CVE-2020-23451

WysokieCVSS 8.8

Opublikowano: 15/09/2020(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.59%

Percentyl 44 - wyżej niż 44% wszystkich znanych CVE

Streszczenie

Podatność CSRF w Spiceworks w wersji 7.5.00107 i starszych umożliwia atakującemu eskalację uprawnień poprzez funkcję /settings/v1/users. Atak polega na zmuszeniu administratora do wykonania niechcianych działań, co może prowadzić do przejęcia kontroli nad aplikacją.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego podniesienia uprawnień przez atakującego, co może skutkować pełną kompromitacją systemu Spiceworks i dostępem do wrażliwych danych organizacji.

Rekomendacja

Zaleca się natychmiastową aktualizację Spiceworks do najnowszej dostępnej wersji, która usuwa tę podatność. Dodatkowo należy wdrożyć mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF.

Inne podatności w Spiceworks

CVE-2020-23450Średnie
Podatność XSS w Spiceworks w wersji 7.5.00107 i starszych. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez pole nazwy w funkcji grup niestandardowych, który jest następnie wyświetlany bez sanityzacji na stronie /inventory/groups/.

Oryginalny opis (angielski, źródło NVD)

Spiceworks Version <= 7.5.00107 is affected by CSRF which can lead to privilege escalation via "/settings/v1/users" function.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS