CVE-2020-36892
KrytyczneStreszczenie
Eibiz i-Media Server Digital Signage 3.8.0 zawiera nieuwierzytelnioną podatność na eskalację uprawnień w obiekcie updateUser, która umożliwia atakującym modyfikację ról użytkowników. Atakujący mogą wykorzystać punkt końcowy /messagebroker/amf do podniesienia uprawnień i przejęcia kont użytkowników poprzez manipulację ustawieniami ról bez uwierzytelnienia.
Ocena ryzyka
Ryzyko dla organizacji to nieautoryzowane przejęcie kont administratorów i pełna kontrola nad systemem, co może prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania oraz wdrożenie uwierzytelniania dla wszystkich punktów końcowych, zwłaszcza /messagebroker/amf.
Oryginalny opis (angielski, źródło NVD)
Eibiz i-Media Server Digital Signage 3.8.0 contains an unauthenticated privilege escalation vulnerability in the updateUser object that allows attackers to modify user roles. Attackers can exploit the /messagebroker/amf endpoint to elevate privileges and take over user accounts by manipulating role settings without authentication.