CVE-2023-53914
KrytyczneStreszczenie
UliCMS 2023.1 zawiera podatność na obejście uwierzytelniania, która umożliwia nieuwierzytelnionym atakującym tworzenie kont administratora poprzez masowe przypisanie w UserController. Atakujący mogą wysłać spreparowane żądanie POST do punktu końcowego admin index.php z określonymi parametrami, aby wygenerować konto administracyjne z pełnym dostępem do systemu.
Ocena ryzyka
Podatność ta może prowadzić do całkowitego przejęcia systemu przez nieautoryzowanych użytkowników, co stanowi krytyczne zagrożenie dla bezpieczeństwa.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu do wersji, która zawiera poprawkę, oraz wdrożenie odpowiednich mechanizmów autoryzacji.
Oryginalny opis (angielski, źródło NVD)
UliCMS 2023.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to create admin users through mass assignment in the UserController. Attackers can send a crafted POST request to the admin index.php endpoint with specific parameters to generate an administrative account with full system access.