CVE-2020-28858
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nie weryfikuje poprawnie, czy żądanie do aplikacji zostało celowo wykonane przez użytkownika, co umożliwia ataki cross-site request forgery (CSRF) na wszystkie funkcje użytkownika.
Ocena ryzyka
Atak CSRF może pozwolić atakującemu na wykonanie nieautoryzowanych działań w kontekście zalogowanego użytkownika, takich jak modyfikacja danych, usuwanie zasobów lub zmiana konfiguracji, co prowadzi do naruszenia integralności i poufności systemu.
Rekomendacja
Należy natychmiast zaktualizować OpenAsset DAM do wersji nowszej niż 12.0.19, która zawiera poprawkę eliminującą podatność CSRF. Jeśli aktualizacja nie jest możliwa, wdrożyć dodatkowe mechanizmy ochrony, takie jak tokeny CSRF lub weryfikacja nagłówka Origin.
Inne podatności w OpenAsset Digital Asset Management
Zobacz wszystkie- CVE-2020-28860Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika, włączając je do zapytań SQL, co umożliwia uwierzytelnioną ślepą iniekcję SQL.
- CVE-2020-28859Średnie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia odbite ataki typu cross-site scripting (XSS).
- CVE-2020-28857Średnie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia ataki typu stored cross-site scripting (XSS).
- CVE-2020-28856Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo określa źródłowy adres IP żądania HTTP, umożliwiając atakującym jego sfałszowanie za pomocą nagłówka X-Forwarded-For, np. poprzez podanie adresu localhost 127.0.0.1, co skutecznie omija wszelkie mechanizmy kontroli dostępu oparte na adresie IP.
Oryginalny opis (angielski, źródło NVD)
OpenAsset Digital Asset Management (DAM) through 12.0.19 does not correctly verify whether a request made to the application was intentionally made by the user, allowing for cross-site request forgery attacks on all user functions.