CVE-2025-41341
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrami 'id_denuncia' i 'seguro' do '/backend/api/buscarUsuarioByDenuncia.php'.
Ocena ryzyka
Możliwość powiązania zgłoszenia z użytkownikiem bez autoryzacji może ujawnić tożsamość zgłaszających i naruszyć poufność zgłoszeń.
Rekomendacja
Dodać weryfikację uprawnień do endpointu buscarUsuarioByDenuncia.php i sprawdzać, czy żądający ma prawo do danych zgłoszenia.
Inne podatności w CanalDenuncia.app
Zobacz wszystkie- CVE-2025-41345Wysokie
W CanalDenuncia.app wykryto brak autoryzacji, który pozwala atakującemu na dostęp do informacji innych użytkowników poprzez wysłanie żądania POST z parametrami 'id_denuncia' i 'id_user' do '/backend/api/buscarDenunciasById.php'.
- CVE-2025-41344Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrem 'id_archivo' do '/backend/api/verArchivo.php'.
- CVE-2025-41343Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrem 'email' do '/backend/api/users/searchUserByEmail.php'.
- CVE-2025-41342Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrem 'id_user' do '/backend/api/buscarUsuarioId.php'.
- CVE-2025-41340Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrami 'id_tp_denuncia' i 'id_sociedad' do '/backend/api/buscarTipoDenunciabyId.php'.
- CVE-2025-41339Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrem 'id_sociedad' do '/backend/api/buscarTipoDenuncia.php'.
- CVE-2025-41338Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrami 'id_denuncia' i 'id_user' do '/backend/api/buscarTestigoByIdDenunciaUsuario.php'.
- CVE-2025-41337Wysokie
W CanalDenuncia.app wykryto brak kontroli autoryzacji. Podatność pozwala atakującemu na dostęp do informacji innych użytkowników poprzez wysłanie żądania POST z parametrem 'web' do '/backend/api/buscarSSOParametros.php'.
- CVE-2025-41336Wysokie
W CanalDenuncia.app wykryto brak kontroli autoryzacji. Podatność pozwala atakującemu na dostęp do informacji innych użytkowników poprzez wysłanie żądania POST z parametrem 'web' do '/backend/api/buscarConfiguracionParametros.php'.
- CVE-2025-41335Wysokie
W aplikacji CanalDenuncia.app wykryto brak kontroli autoryzacji. Atakujący może uzyskać dostęp do informacji innych użytkowników, wysyłając żądanie POST z parametrami 'id' i 'id_sociedad' do '/api/buscarEmpresaById.php'.
Oryginalny opis (angielski, źródło NVD)
A lack of authorisation vulnerability has been detected in CanalDenuncia.app. This vulnerability allows an attacker to access other users' information by sending a POST through the parameters 'id_denuncia' and 'seguro' in '/backend/api/buscarUsuarioByDenuncia.php'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS