CVE-2023-47325
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Podatność w Silverpeas Core 6.3.1 w funkcji administracyjnej 'Kosz' umożliwia użytkownikowi z niskimi uprawnieniami dostęp do kosza, co ujawnia wszystkie usunięte przestrzenie. Użytkownik może następnie przywrócić lub trwale usunąć te przestrzenie.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do poufnych danych oraz możliwości ich trwałego usunięcia przez osoby nieuprawnione, co może prowadzić do utraty danych i naruszenia integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować Silverpeas Core do najnowszej wersji, która zawiera poprawkę kontroli dostępu, oraz przejrzeć uprawnienia użytkowników.
Inne podatności w Silverpeas Core
Zobacz wszystkie- CVE-2026-78742Średnie
Silverpeas Core w wersji do 6.4.6 jest podatny na Cross Site Scripting (XSS) poprzez wprowadzenie w aplikacji biblioteki multimedialnej.
- CVE-2026-78741Średnie
Silverpeas Core w wersji do 6.4.6 jest podatny na Cross Site Scripting (XSS) w funkcji przesyłania obrazów w edytorze wysiwyg-CKEditor.
- CVE-2026-78738Średnie
Silverpeas Core w wersji 6.4.6 jest podatny na Cross Site Scripting (XSS) poprzez funkcję przesyłania plików w module zarządzania dokumentami.
- CVE-2023-47327Średnie
Funkcja 'Utwórz przestrzeń' w Silverpeas Core 6.3.1 jest zarezerwowana dla administratorów, ale zawiera wadę kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi na utworzenie przestrzeni poprzez przejście pod odpowiedni URL.
- CVE-2023-47326Wysokie
Silverpeas Core 6.3.1 zawiera podatność na fałszowanie żądań między witrynami (CSRF) w funkcji tworzenia domeny SQL. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.
- CVE-2023-47324Średnie
Silverpeas Core 6.3.1 zawiera podatność na ataki XSS w funkcji wiadomości/powiadomień. Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu JavaScript do treści wiadomości.
- CVE-2023-47323Wysokie
Funkcja powiadomień/wiadomości w Silverpeas Core 6.3.1 nie wymusza kontroli dostępu na parametrze ID. Umożliwia to atakującemu odczytanie wszystkich wiadomości wysłanych między innymi użytkownikami, w tym tych przeznaczonych tylko dla administratorów.
- CVE-2023-47322Wysokie
Funkcja 'userModify' w Silverpeas Core 6.3.1 jest podatna na atak CSRF, który umożliwia eskalację uprawnień. Jeśli administrator odwiedzi złośliwy URL będąc zalogowanym, atakujący może stać się administratorem aplikacji.
- CVE-2023-47321Średnie
Silverpeas Core 6.3.1 zawiera podatność związaną z nieprawidłową kontrolą dostępu w komponencie 'Porlet Deployer', która umożliwia administratorom wdrażanie portletów .WAR. Może to prowadzić do nieautoryzowanego uruchamiania kodu lub eskalacji uprawnień.
- CVE-2023-47320Wysokie
Silverpeas Core 6.3.1 i wcześniejsze wersje zawierają podatność związaną z nieprawidłową kontrolą dostępu. Osoba atakująca z niskimi uprawnieniami może wykonać funkcję zarezerwowaną dla administratora, włączając tryb konserwacji aplikacji. Powoduje to niedostępność aplikacji dla wszystkich użytkowników.
Oryginalny opis (angielski, źródło NVD)
Silverpeas Core 6.3.1 administrative "Bin" feature is affected by broken access control. A user with low privileges is able to navigate directly to the bin, revealing all deleted spaces. The user can then restore or permanently delete the spaces.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS