CVE-2023-35937
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Metersphere to otwartoźródłowa platforma do ciągłego testowania. W wersjach przed 2.10.2 LTS niektóre kluczowe API w Metersphere nie mają kontroli uprawnień, co pozwala zwykłym użytkownikom na wykonywanie operacji zarezerwowanych dla administratorów przestrzeni lub projektów.
Ocena ryzyka
Brak odpowiednich kontroli uprawnień może prowadzić do nieautoryzowanego dostępu i potencjalnych zmian w konfiguracji, co zagraża bezpieczeństwu całej platformy.
Rekomendacja
Zaleca się aktualizację do wersji 2.10.2 LTS lub nowszej, aby załatać tę podatność i przywrócić odpowiednie kontrole uprawnień.
Oryginalny opis (angielski, źródło NVD)
Metersphere is an open source continuous testing platform. In versions prior to 2.10.2 LTS, some key APIs in Metersphere lack permission checks. This allows ordinary users to execute APIs that can only be executed by space administrators or project administrators. For example, ordinary users can be updated as space administrators. Version 2.10.2 LTS has a patch for this issue.