CVE-2023-38257
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Wersje 2.1.37 i wcześniejsze Iagona ScrutisWeb są podatne na lukę typu insecure direct object reference, która może pozwolić nieautoryzowanemu użytkownikowi na przeglądanie informacji o profilach, w tym nazw użytkowników i zaszyfrowanych haseł.
Ocena ryzyka
Organizacja może być narażona na ujawnienie wrażliwych danych użytkowników, co może prowadzić do dalszych ataków lub naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Iagona ScrutisWeb, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających dostęp do informacji o profilach.
Inne podatności w Iagona ScrutisWeb
Zobacz wszystkie- CVE-2023-35189Krytyczne
Wersje Iagona ScrutisWeb 2.1.37 i wcześniejsze są podatne na zdalne wykonanie kodu, co może pozwolić nieautoryzowanemu użytkownikowi na przesłanie złośliwego ładunku i jego wykonanie.
- CVE-2023-35763Średnie
Wersje Iagona ScrutisWeb 2.1.37 i wcześniejsze są podatne na lukę kryptograficzną, która może umożliwić nieautoryzowanemu użytkownikowi odszyfrowanie zaszyfrowanych haseł do postaci tekstu jawnego.
- CVE-2023-33871Wysokie
Wersje Iagona ScrutisWeb 2.1.37 i wcześniejsze są podatne na lukę typu directory traversal, która może umożliwić nieautoryzowanemu użytkownikowi bezpośredni dostęp do dowolnego pliku poza katalogiem głównym aplikacji webowej.
Oryginalny opis (angielski, źródło NVD)
Iagona ScrutisWeb versions 2.1.37 and prior are vulnerable to an insecure direct object reference vulnerability that could allow an unauthenticated user to view profile information, including user login names and encrypted passwords.