CVE-2024-22348
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
IBM DevOps Velocity 5.0.0 oraz IBM UrbanCode Velocity 4.0.0 do 4.0.25 nie ograniczają domen w mechanizmie CORS, co może pozwolić atakującemu na wykonanie uprzywilejowanych działań i odczyt wrażliwych informacji.
Ocena ryzyka
Atakujący może przejąć kontrolę nad sesją użytkownika lub wykraść dane uwierzytelniające, co prowadzi do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizuj oprogramowanie do najnowszej wersji oraz skonfiguruj listę dozwolonych domen w nagłówkach CORS.
Inne podatności w IBM DevOps Velocity
Zobacz wszystkie- CVE-2024-22349Średnie
IBM DevOps Velocity 5.0.0 i IBM UrbanCode Velocity 4.0.0 do 4.0.25 przechowują strony internetowe lokalnie, co pozwala innemu użytkownikowi systemu na ich odczyt.
- CVE-2024-22347Średnie
IBM DevOps Velocity 5.0.0 oraz IBM UrbanCode Velocity 4.0.0 do 4.0.25 używają słabszych niż oczekiwano algorytmów kryptograficznych, co może pozwolić atakującemu na odszyfrowanie bardzo wrażliwych informacji.
Oryginalny opis (angielski, źródło NVD)
IBM DevOps Velocity 5.0.0 and IBM UrbanCode Velocity 4.0.0 through 4.0. 25 uses Cross-Origin Resource Sharing (CORS) which could allow an attacker to carry out privileged actions and retrieve sensitive information as the domain name is not being limited to only trusted domains.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS