CVE-2025-64063
KrytyczneStreszczenie
W Primakon Pi Portal 1.0.18 endpointy API nie egzekwują wystarczających kontroli autoryzacji. Standardowy użytkownik może wysyłać bezpośrednie żądania HTTP do endpointów administracyjnych, omijając ograniczenia UI, co pozwala na nieautoryzowaną modyfikację kont, dostęp do poufnych dokumentów i eskalację uprawnień.
Ocena ryzyka
Atakujący może przejąć kontrolę nad kontami użytkowników, uzyskać dostęp do poufnych danych i eskalować uprawnienia, co prowadzi do naruszenia integralności i poufności danych.
Rekomendacja
Zaleca się wdrożenie odpowiednich kontroli autoryzacji na wszystkich endpointach API oraz ograniczenie dostępu do funkcji administracyjnych.
Oryginalny opis (angielski, źródło NVD)
Primakon Pi Portal 1.0.18 API endpoints fail to enforce sufficient authorization checks when processing requests. Specifically, a standard user can exploit this flaw by sending direct HTTP requests to administrative endpoints, bypassing the UI restrictions. This allows the attacker to manipulate data outside their assigned scope, including: Unauthorized Account modification, modifying/deleting arbitrary user accounts and changing passwords by sending a direct request to the user management API endpoint; Confidential Data Access, accessing and downloading sensitive organizational documents via a direct request to the document retrieval API; Privilege escalation, This vulnerability can lead to complete compromise of data integrity and confidentiality, and Privilege Escalation by manipulating core system functions.