CVE-2023-53895
KrytyczneStreszczenie
PimpMyLog 1.7.14 zawiera podatność niewłaściwej kontroli dostępu, która pozwala zdalnym atakującym na tworzenie kont administratora bez autoryzacji poprzez punkt końcowy konfiguracji. Atakujący mogą wykorzystać nieoczyszczone pole nazwy użytkownika do wstrzyknięcia złośliwego JavaScriptu, utworzenia ukrytego konta backdoor i potencjalnie uzyskać dostęp do wrażliwych informacji serwerowych i zmiennych środowiskowych.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp administracyjny, co może prowadzić do przejęcia aplikacji i wycieku wrażliwych danych.
Rekomendacja
Zaleca się aktualizację PimpMyLog do najnowszej wersji oraz wdrożenie odpowiednich mechanizmów uwierzytelniania i sanityzacji danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
PimpMyLog 1.7.14 contains an improper access control vulnerability that allows remote attackers to create admin accounts without authorization through the configuration endpoint. Attackers can exploit the unsanitized username field to inject malicious JavaScript, create a hidden backdoor account, and potentially access sensitive server-side log information and environmental variables.