CVE-2020-26679
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w vFairs 3.3 wynika z nieprawidłowych uprawnień, umożliwiając zalogowanemu użytkownikowi modyfikację profili innych uczestników. Atakujący może zmienić opis lub zdjęcie profilowe dowolnego użytkownika, znając jego unikalny identyfikator.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataków XSS na innych użytkowników oraz wgranie złośliwych webshelli PHP jako zdjęć profilowych, co może prowadzić do przejęcia kont lub kompromitacji serwera.
Rekomendacja
Należy natychmiast zaktualizować vFairs do najnowszej wersji oraz wdrożyć mechanizmy autoryzacji przy każdej operacji modyfikacji profilu. Dodatkowo zaleca się ograniczenie dostępu do API i walidację przesyłanych plików.
Inne podatności w vFairs
Zobacz wszystkie- CVE-2020-26680Średnie
W vFairs 3.3 każdy zalogowany użytkownik może modyfikować profil dowolnego innego użytkownika, wstrzykując złośliwy kod JavaScript (XSS). Baza danych przechowuje znaczniki HTML, które są renderowane na stronie, co umożliwia ataki XSS.
- CVE-2020-26678Wysokie
Podatność w vFairs 3.3 umożliwia zdalne wykonanie kodu. Każdy zalogowany użytkownik może wykorzystać funkcję przesyłania zdjęcia profilowego do umieszczenia złośliwego pliku PHP na serwerze i uzyskania wykonania kodu.
- CVE-2020-26677Wysokie
Podatność SQL Injection w vFairs 3.3 umożliwia każdemu zalogowanemu użytkownikowi wstrzyknięcie złośliwego zapytania SQL do API. Atakujący może manipulować bazą danych konferencji lub wydarzenia.
Oryginalny opis (angielski, źródło NVD)
vFairs 3.3 is affected by Insecure Permissions. Any user logged in to a vFairs virtual conference or event can modify any other users profile information or profile picture. After receiving any user's unique identification number and their own, an HTTP POST request can be made update their profile description or supply a new profile image. This can lead to potential cross-site scripting attacks on any user, or upload malicious PHP webshells as "profile pictures." The user IDs can be easily determined by other responses from the API for an event or chat room.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS