CVE-2023-33368
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W wersjach Control ID IDSecure 4.7.26.0 i wcześniejszych istnieją niektóre trasy API, które wyciekają wrażliwe informacje oraz hasła do użytkowników uzyskujących dostęp do tych tras API.
Ocena ryzyka
Organizacja może być narażona na wyciek danych, co może prowadzić do nieautoryzowanego dostępu do systemów i informacji wrażliwych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Control ID IDSecure, aby zlikwidować te luki w zabezpieczeniach.
Inne podatności w Control ID IDSecure
Zobacz wszystkie- CVE-2023-33369Krytyczne
W systemie Control ID IDSecure w wersji 4.7.26.0 i wcześniejszych występuje podatność na przejście ścieżki, która umożliwia atakującym usuwanie dowolnych plików z systemu plików IDSecure, co prowadzi do odmowy usługi.
- CVE-2026-92626Wysokie
Control iD iDSecure w wersjach przed 4.8.3.0 jest podatny na nieuwierzytelniony atak odmowy usługi. Endpoint /api/dguardintegration/dguardVersion odwołuje się do stanu logowania integracji DGuard, który może być nieustawiony, powodując nieobsłużony wyjątek null reference w asynchronicznej metodzie zwracającej void, co może zakończyć proces iDSecure.
- CVE-2026-92625Wysokie
Control iD iDSecure w wersjach przed 4.8.3.0 jest podatny na nieuwierzytelniony atak odmowy usługi. Endpoint /api/license/restartService jest dostępny bez uwierzytelnienia i wywołuje wewnętrzną procedurę, która kończy proces usługi iDSecure i uruchamia go ponownie za pomocą wygenerowanego skryptu wsadowego, co pozwala atakującemu na ciągłe restartowanie usługi.
- CVE-2023-33370Wysokie
W wersjach Control ID IDSecure 4.7.26.0 i wcześniejszych występuje podatność na nieobsługiwaną wyjątek, która pozwala atakującym na spowodowanie awarii głównego serwera WWW IDSecure, co prowadzi do odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
Some API routes exists in Control ID IDSecure 4.7.26.0 and prior, exfiltrating sensitive information and passwords to users accessing these API routes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS