CVE-2023-4640
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Kontroler odpowiedzialny za ustawianie poziomu logowania nie zawiera żadnych kontroli autoryzacji, co pozwala na dostęp nieautoryzowanych użytkowników. Problem ten dotyczy YugabyteDB Anywhere w wersjach od 2.0.0 do 2.17.3.
Ocena ryzyka
Brak autoryzacji przy ustawianiu poziomu logowania może prowadzić do ujawnienia wrażliwych informacji lub manipulacji logami przez nieautoryzowanych użytkowników.
Rekomendacja
Zaleca się wprowadzenie odpowiednich kontroli autoryzacji w kontrolerze ustawiającym poziom logowania, aby zapewnić, że tylko uwierzytelnieni użytkownicy mają do niego dostęp.
Oryginalny opis (angielski, źródło NVD)
The controller responsible for setting the logging level does not include any authorization checks to ensure the user is authenticated. This can be seen by noting that it extends Controller rather than AuthenticatedController and includes no further checks. This issue affects YugabyteDB Anywhere: from 2.0.0 through 2.17.3