CVE-2023-36100
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W wersji 2.0.1 IceCMS odkryto problem, który pozwala atakującym na eskalację uprawnień oraz uzyskanie wrażliwych informacji poprzez parametr UserID w api/User/ChangeUser.
Ocena ryzyka
Eskalacja uprawnień może prowadzić do nieautoryzowanego dostępu do danych użytkowników, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację IceCMS do najnowszej wersji oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Inne podatności w IceCMS 2.0.1
Zobacz wszystkie- CVE-2024-46607Wysokie
W IceCMS w wersji 3.4.7 i wcześniejszych wykryto nieprawidłową kontrolę dostępu w metodzie loginAdmin w pliku UserController.java. Umożliwia to atakującym uwierzytelnienie się poprzez podanie dowolnych wartości jako nazwy użytkownika i hasła.
- CVE-2023-33356Średnie
IceCMS w wersji 1.0.0 jest podatny na ataki typu Cross Site Scripting (XSS), co może umożliwić atakującym wstrzykiwanie złośliwego kodu do aplikacji.
- CVE-2023-33355Wysokie
IceCMS w wersji 1.0.0 ma niewłaściwe uprawnienia, co prowadzi do nieautoryzowanego dostępu do API i ujawnienia wrażliwych informacji.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in IceCMS version 2.0.1, allows attackers to escalate privileges and gain sensitive information via UserID parameter in api/User/ChangeUser.