CVE-2020-26679
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w vFairs 3.3 wynika z nieprawidłowych uprawnień, umożliwiając zalogowanemu użytkownikowi modyfikację profili innych uczestników. Atakujący może zmienić opis lub zdjęcie profilowe dowolnego użytkownika, znając jego unikalny identyfikator.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataków XSS na innych użytkowników oraz wgranie złośliwych webshelli PHP jako zdjęć profilowych, co może prowadzić do przejęcia kont lub kompromitacji serwera.
Rekomendacja
Należy natychmiast zaktualizować vFairs do najnowszej wersji oraz wdrożyć mechanizmy autoryzacji przy każdej operacji modyfikacji profilu. Dodatkowo zaleca się ograniczenie dostępu do API i walidację przesyłanych plików.
Oryginalny opis (angielski, źródło NVD)
vFairs 3.3 is affected by Insecure Permissions. Any user logged in to a vFairs virtual conference or event can modify any other users profile information or profile picture. After receiving any user's unique identification number and their own, an HTTP POST request can be made update their profile description or supply a new profile image. This can lead to potential cross-site scripting attacks on any user, or upload malicious PHP webshells as "profile pictures." The user IDs can be easily determined by other responses from the API for an event or chat room.