CVE-2022-43340
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W systemie dzzoffice 2.02.1_SC_UTF8 wykryto podatność na fałszowanie żądań międzywitrynowych (CSRF). Umożliwia ona atakującym tworzenie kont użytkowników oraz nadawanie uprawnień administratora zwykłym użytkownikom bez ich wiedzy.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego przejęcia kontroli nad systemem przez atakującego, co może prowadzić do kradzieży danych, modyfikacji konfiguracji lub całkowitego przejęcia instancji dzzoffice.
Rekomendacja
Należy natychmiast zaktualizować dzzoffice do najnowszej wersji oraz wdrożyć mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF i weryfikacja nagłówka Origin.
Inne podatności w dzzoffice
Zobacz wszystkieOryginalny opis (angielski, źródło NVD)
A Cross-Site Request Forgery (CSRF) in dzzoffice 2.02.1_SC_UTF8 allows attackers to arbitrarily create user accounts and grant Administrator rights to regular users.