CVE-2022-23383
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
YzmCMS v6.3 zawiera lukę w kontroli dostępu, która umożliwia nieautoryzowany dostęp do strony osobistej użytkownika bez logowania. Podatność wynika z braku prawidłowego uwierzytelnienia przed dostępem do strony domowej, co pozwala na przeglądanie stron innych użytkowników bez zalogowania.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia danych osobowych użytkowników oraz naruszenia prywatności, ponieważ atakujący może uzyskać dostęp do profili innych osób bez autoryzacji.
Rekomendacja
Zaleca się natychmiastową aktualizację YzmCMS do najnowszej wersji, która usuwa tę lukę, oraz wdrożenie mechanizmów uwierzytelniania przed dostępem do stron osobistych.
Oryginalny opis (angielski, źródło NVD)
YzmCMS v6.3 is affected by broken access control. Without login, unauthorized access to the user's personal home page can be realized. It is necessary to judge the user's login status before accessing the personal home page, but the vulnerability can access other users' home pages through the non login status because real authentication is not carried out.