CVE-2023-40315
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
W OpenMNS Horizon w wersji 31.0.8 oraz wcześniejszych niż 32.0.2, użytkownicy z rolą ROLE_FILESYSTEM_EDITOR mogą łatwo podnieść swoje uprawnienia do roli ROLE_ADMIN lub innej. Problem dotyczy również powiązanych wersji Meridian.
Ocena ryzyka
Podniesienie uprawnień przez nieautoryzowanych użytkowników może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji, umożliwiając im dostęp do wrażliwych danych i funkcji administracyjnych.
Rekomendacja
Zaleca się aktualizację do wersji Meridian 2023.1.5 lub Horizon 32.0.2 lub nowszej, aby zniwelować tę podatność.
Oryginalny opis (angielski, źródło NVD)
In OpenMNS Horizon 31.0.8 and versions earlier than 32.0.2 and related Meridian versions, any user that has the ROLE_FILESYSTEM_EDITOR can easily escalate their privileges to ROLE_ADMIN or any other role. The solution is to upgrade to Meridian 2023.1.5 or Horizon 32.0.2 or newer. Meridian and Horizon installation instructions state that they are intended for installation within an organization's private networks and should not be directly accessible from the Internet. OpenNMS thanks Erik Wynter for reporting this issue.