CVE-2024-34323
KrytyczneCVSS 10.0Streszczenie
W ProPhoenix Law RMS w wersji 2022.2403.3.101 wykryto podatność typu Insecure Direct Object Reference (IDOR) poprzez parametr usrLogin$hdnPFID. Luka pozwala atakującemu na dostęp do poufnych informacji za pomocą spreparowanego żądania HTTP.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych innych użytkowników lub zasobów, do których nie powinien mieć uprawnień, co może prowadzić do wycieku informacji.
Rekomendacja
Zaktualizuj ProPhoenix Law RMS do wersji zawierającej poprawkę lub skontaktuj się z dostawcą; wdroż kontrolę dostępu po stronie serwera dla parametrów identyfikujących zasoby.
Inne podatności w ProPhoenix Law RMS
Zobacz wszystkie- CVE-2024-34326Nieznane
Podatność w ProPhoenix Law RMS w wersji v2022.2403.3.101 to odbity XSS (cross-site scripting) przez parametry PageTitle/Alert/MsgType w punkcie końcowym errorHandler.aspx.
- CVE-2024-34324Nieznane
W ProPhoenix Law RMS w wersji 2022.2403.3.101 występuje luka umożliwiająca atakującemu przeprowadzenie ataku przejęcia sesji poprzez wstrzyknięcie specjalnie spreparowanego 24-znakowego ciągu do ciasteczka ASP.NET_SessionId.
- CVE-2024-34321Nieznane
W ProPhoenix Law RMS w wersji 2022.2403.3.101 wykryto podatność typu reflected cross-site scripting (XSS) poprzez parametr PageTitle/Notes w punkcie końcowym Notes.aspx.
- CVE-2024-34320Nieznane
W ProPhoenix Law RMS w wersji 2022.2403.3.101 wykryto problem nieprawidłowej kontroli dostępu w wrażliwych punktach końcowych API.
- CVE-2024-34319Nieznane
W ProPhoenix Law RMS v2022.2403.3.101 występuje podatność Server-Side Request Forgery (SSRF) w parametrze serviceURL. Atakujący może zmusić serwer aplikacji do wykonania niezamierzonych żądań DNS i HTTP poprzez spreparowane żądanie HTTP.
Oryginalny opis (angielski, źródło NVD)
ProPhoenix Law RMS v2022.2403.3.101 was discovered to contain an Insecure Direct Object Reference (IDOR) via the usrLogin$hdnPFID parameter. This vulnerability allows attackers to access sensitive information via a crafted HTTP request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS