CVE-2023-40020
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
PrivateUploader to serwer hostingu obrazów, który w dotkniętych wersjach nieprawidłowo weryfikował, czy użytkownik jest administratorem lub moderatorem. To prowadziło do przetwarzania żądań, mimo że odpowiedź wskazywała na brak uprawnień.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane zmiany lub aktualizacje w systemie, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji 3.2.49, aby usunąć tę podatność. Brak znanych obejść dla tego problemu.
Oryginalny opis (angielski, źródło NVD)
PrivateUploader is an open source image hosting server written in Vue and TypeScript. In affected versions `app/routes/v3/admin.controller.ts` did not correctly verify whether the user was an administrator (High Level) or moderator (Low Level) causing the request to continue processing. The response would be a 403 with ADMIN_ONLY, however, next() would call leading to any updates/changes in the route to process. This issue has been addressed in version 3.2.49. Users are advised to upgrade. There are no known workarounds for this vulnerability.