CVE-2024-34324
NieznaneStreszczenie
W ProPhoenix Law RMS w wersji 2022.2403.3.101 występuje luka umożliwiająca atakującemu przeprowadzenie ataku przejęcia sesji poprzez wstrzyknięcie specjalnie spreparowanego 24-znakowego ciągu do ciasteczka ASP.NET_SessionId.
Ocena ryzyka
Atakujący może przejąć aktywną sesję użytkownika, uzyskując nieautoryzowany dostęp do systemu i danych w nim przechowywanych.
Rekomendacja
Zaktualizuj ProPhoenix Law RMS do wersji pozbawionej luki lub skontaktuj się z dostawcą w celu uzyskania poprawki; rozważ wdrożenie dodatkowych mechanizmów ochrony sesji.
Inne podatności w ProPhoenix Law RMS
Zobacz wszystkie- CVE-2024-34326Nieznane
Podatność w ProPhoenix Law RMS w wersji v2022.2403.3.101 to odbity XSS (cross-site scripting) przez parametry PageTitle/Alert/MsgType w punkcie końcowym errorHandler.aspx.
- CVE-2024-34321Nieznane
W ProPhoenix Law RMS w wersji 2022.2403.3.101 wykryto podatność typu reflected cross-site scripting (XSS) poprzez parametr PageTitle/Notes w punkcie końcowym Notes.aspx.
- CVE-2024-34320Nieznane
W ProPhoenix Law RMS w wersji 2022.2403.3.101 wykryto problem nieprawidłowej kontroli dostępu w wrażliwych punktach końcowych API.
- CVE-2024-34319Nieznane
W ProPhoenix Law RMS v2022.2403.3.101 występuje podatność Server-Side Request Forgery (SSRF) w parametrze serviceURL. Atakujący może zmusić serwer aplikacji do wykonania niezamierzonych żądań DNS i HTTP poprzez spreparowane żądanie HTTP.
- CVE-2024-34323Krytyczne
W ProPhoenix Law RMS w wersji 2022.2403.3.101 wykryto podatność typu Insecure Direct Object Reference (IDOR) poprzez parametr usrLogin$hdnPFID. Luka pozwala atakującemu na dostęp do poufnych informacji za pomocą spreparowanego żądania HTTP.
Oryginalny opis (angielski, źródło NVD)
An issue in ProPhoenix Law RMS v2022.2403.3.101 allows attackers to execute a session hijacking attack via injecting a crafted 24-character string into the ASP.NET_SessionId cookie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS