CVE-2023-32217

Krytyczne

Opublikowano: 05/06/2023(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

IdentityIQ w wersjach 8.3 i wcześniejszych (do 8.3p2), 8.2 i wcześniejszych (do 8.2p5), 8.1 i wcześniejszych (do 8.1p6), oraz 8.0 i wcześniejszych (do 8.0p5) pozwala uwierzytelnionemu użytkownikowi na wywołanie konstruktora Java bez argumentów lub z jednym argumentem typu Map w dowolnej klasie Java dostępnej w ścieżce klas aplikacji IdentityIQ.

Ocena ryzyka

Możliwość wywołania konstruktorów w aplikacji może prowadzić do nieautoryzowanego dostępu do funkcji lub danych, co stwarza ryzyko dla integralności i poufności systemu.

Rekomendacja

Zaleca się aktualizację do wersji IdentityIQ 8.3p3, 8.2p6, 8.1p7 lub 8.0p6, aby zniwelować tę podatność.

Oryginalny opis (angielski, źródło NVD)

IdentityIQ 8.3 and all 8.3 patch levels prior to 8.3p3, IdentityIQ 8.2 and all 8.2 patch levels prior to 8.2p6, IdentityIQ 8.1 and all 8.1 patch levels prior to 8.1p7, IdentityIQ 8.0 and all 8.0 patch levels prior to 8.0p6 allow an authenticated user to invoke a Java constructor with no arguments or a Java constructor with a single Map argument in any Java class available in the IdentityIQ application classpath.