CVE-2025-64067
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Endpointy API w Primakon Pi Portal 1.0.18 odpowiedzialne za pobieranie danych obiektów lub filtrowanych zbiorów nie weryfikują wystarczająco po stronie serwera, czy użytkownik ma uprawnienia do żądanego obiektu. Podatność można wykorzystać poprzez manipulację identyfikatorem (IDOR) lub pominięcie parametru filtrującego, co prowadzi do nieautoryzowanego ujawnienia danych osobowych i organizacyjnych.
Ocena ryzyka
Atakujący może uzyskać dostęp do profili użytkowników, rekordów projektów lub całych zbiorów danych należących do innych użytkowników, co stanowi poważne naruszenie poufności i może skutkować wyciekiem danych osobowych.
Rekomendacja
Wdrożyć kontrolę autoryzacji po stronie serwera dla każdego żądania dostępu do obiektu oraz wymusić obecność i walidację parametrów filtrujących. Zaktualizować aplikację do wersji zawierającej poprawkę, jeśli jest dostępna.
Inne podatności w Primakon Pi Portal
Zobacz wszystkie- CVE-2025-64063Krytyczne
W Primakon Pi Portal 1.0.18 endpointy API nie egzekwują wystarczających kontroli autoryzacji. Standardowy użytkownik może wysyłać bezpośrednie żądania HTTP do endpointów administracyjnych, omijając ograniczenia UI, co pozwala na nieautoryzowaną modyfikację kont, dostęp do poufnych dokumentów i eskalację uprawnień.
- CVE-2025-64065Wysokie
Primakon Pi Portal 1.0.18 w endpoincie API /api/V2/pp_udfv_admin nie przeprowadza niezbędnej walidacji po stronie serwera. Funkcja LoginAs (podszywanie się pod użytkownika) jest podatna na błąd kontroli dostępu, pozwalając niskouprzywilejowanemu użytkownikowi na podszycie się pod dowolnego użytkownika, w tym administratora.
- CVE-2025-64064Wysokie
Primakon Pi Portal 1.0.18 w endpoincie /api/v2/pp_users nie sprawdza wystarczająco uprawnień użytkownika przed przetworzeniem żądania PATCH modyfikującego PP_SECURITY_PROFILE_ID. Z powodu słabych kontroli dostępu każdy niskouprzywilejowany użytkownik może zmienić swoje uprawnienia na administratora, ustawiając PP_SECURITY_PROFILE_ID=2.
- CVE-2025-64066Wysokie
Endpoint REST /api/v2/user/register w Primakon Pi Portal 1.0.18 jest podatny na złamanie kontroli dostępu. Endpoint nie implementuje żadnych kontroli autoryzacji, umożliwiając nieuwierzytelnionym atakującym wysyłanie żądań POST w celu rejestracji nowych kont użytkowników w lokalnej bazie danych aplikacji, co omija zamierzoną architekturę bezpieczeństwa opartą na zewnętrznym dostawcy tożsamości. Wektor ten można łączyć z innymi podatnościami w celu eskalacji uprawnień i pełnego przejęcia aplikacji, a żądanie może służyć do enumeracji już zarejestrowanych kont.
- CVE-2025-64062Wysokie
W Primakon Pi Portal 1.0.18 endpoint /api/V2/pp_users?email służy do filtrowania danych użytkowników, ale nie ma poprawnej walidacji po stronie serwera względem uwierzytelnionej sesji. Manipulując parametrem email (np. na inny adres), atakujący może przejąć sesję i uzyskać pełny dostęp do danych i uprawnień docelowego użytkownika; pozostawienie parametru pustego powoduje domyślne przypisanie do pierwszego użytkownika (zwykle administratora), co prowadzi do eskalacji uprawnień do najwyższego poziomu.
- CVE-2025-64061Średnie
Punkt końcowy /api/v2/users w Primakon Pi Portal 1.0.18 jest podatny na nieautoryzowane ujawnienie danych z powodu niewystarczających mechanizmów kontroli dostępu. Każdy uwierzytelniony użytkownik, niezależnie od poziomu uprawnień, może pobrać pełną listę wszystkich zarejestrowanych użytkowników, w tym hasła w postaci skrótów.
Oryginalny opis (angielski, źródło NVD)
Primakon Pi Portal 1.0.18 API endpoints responsible for retrieving object-specific or filtered data (e.g., user profiles, project records) fail to implement sufficient server-side validation to confirm that the requesting user is authorized to access the requested object or dataset. This vulnerability can be exploited in two ways: Direct ID manipulation and IDOR, by changing an ID parameter (e.g., user_id, project_id) in the request, an attacker can access the object and data belonging to another user; and filter Omission, by omitting the filtering parameter entirely, an attacker can cause the endpoint to return an entire unfiltered dataset of all stored records for all users. This flaw leads to the unauthorized exposure of sensitive personal and organizational information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS