CVE-2025-41338
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrami 'id_denuncia' i 'id_user' do '/backend/api/buscarTestigoByIdDenunciaUsuario.php'.
Ocena ryzyka
Nieautoryzowany dostęp do danych świadków powiązanych ze zgłoszeniem może ujawnić tożsamość osób i naruszyć poufność.
Rekomendacja
Wdrożyć kontrolę uprawnień w endpointcie buscarTestigoByIdDenunciaUsuario.php i weryfikować prawo dostępu do danych świadków.
Inne podatności w CanalDenuncia.app
Zobacz wszystkie- CVE-2025-41345Wysokie
W CanalDenuncia.app wykryto brak autoryzacji, który pozwala atakującemu na dostęp do informacji innych użytkowników poprzez wysłanie żądania POST z parametrami 'id_denuncia' i 'id_user' do '/backend/api/buscarDenunciasById.php'.
- CVE-2025-41344Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrem 'id_archivo' do '/backend/api/verArchivo.php'.
- CVE-2025-41343Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrem 'email' do '/backend/api/users/searchUserByEmail.php'.
- CVE-2025-41342Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrem 'id_user' do '/backend/api/buscarUsuarioId.php'.
- CVE-2025-41341Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrami 'id_denuncia' i 'seguro' do '/backend/api/buscarUsuarioByDenuncia.php'.
- CVE-2025-41340Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrami 'id_tp_denuncia' i 'id_sociedad' do '/backend/api/buscarTipoDenunciabyId.php'.
- CVE-2025-41339Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrem 'id_sociedad' do '/backend/api/buscarTipoDenuncia.php'.
- CVE-2025-41337Wysokie
W CanalDenuncia.app wykryto brak kontroli autoryzacji. Podatność pozwala atakującemu na dostęp do informacji innych użytkowników poprzez wysłanie żądania POST z parametrem 'web' do '/backend/api/buscarSSOParametros.php'.
- CVE-2025-41336Wysokie
W CanalDenuncia.app wykryto brak kontroli autoryzacji. Podatność pozwala atakującemu na dostęp do informacji innych użytkowników poprzez wysłanie żądania POST z parametrem 'web' do '/backend/api/buscarConfiguracionParametros.php'.
- CVE-2025-41335Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrami 'id' i 'id_sociedad' do '/api/buscarEmpresaById.php'.
Oryginalny opis (angielski, źródło NVD)
A lack of authorisation vulnerability has been detected in CanalDenuncia.app. This vulnerability allows an attacker to access other users' information by sending a POST through the parameters 'id_denuncia' and 'id_user' in '/backend/api/buscarTestigoByIdDenunciaUsuario.php'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS