CVE-2024-27488
KrytyczneStreszczenie
Wersje ZLMediaKit od 1.0 do 8.0 zawierają podatność na niewłaściwą kontrolę dostępu, która pozwala zdalnym atakującym na eskalację uprawnień oraz uzyskanie poufnych informacji. Domyślnie w systemie aplikacji włączony jest interfejs API http, który używa metody parametru secret do uwierzytelniania, jednak secret jest domyślnie zakodowany.
Ocena ryzyka
Podatność ta stwarza ryzyko dla organizacji, ponieważ umożliwia atakującym uzyskanie dostępu do wrażliwych danych oraz eskalację uprawnień w systemie. Może to prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację ZLMediaKit do najnowszej wersji, która naprawia tę podatność oraz zmianę domyślnych ustawień uwierzytelniania, aby uniknąć używania zakodowanego parametru secret.
Oryginalny opis (angielski, źródło NVD)
Incorrect Access Control vulnerability in ZLMediaKit versions 1.0 through 8.0, allows remote attackers to escalate privileges and obtain sensitive information. The application system enables the http API interface by default and uses the secret parameter method to authenticate the http restful api interface, but the secret is hardcoded by default.