CVE-2025-71421
WysokieCVSS 7.2Streszczenie
UVdesk core-framework przed wersją 1.1.7 zawiera lukę niewłaściwego zarządzania uprawnieniami w punkcie końcowym editAgent, pozwalającą agentom z uprawnieniami do zarządzania agentami eskalować własną rolę do administratora. Atakujący może przesłać własny identyfikator konta z parametrem roli ustawionym na ROLE_ADMIN, aby uzyskać pełną kontrolę administracyjną nad agentami, zgłoszeniami i konfiguracją poczty.
Ocena ryzyka
Agent z uprawnieniami do zarządzania agentami może uzyskać pełną kontrolę administracyjną nad systemem, w tym nad agentami, zgłoszeniami i konfiguracją poczty. Prowadzi to do eskalacji uprawnień i potencjalnego pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj UVdesk core-framework do wersji 1.1.7 lub nowszej. Ogranicz uprawnienia do zarządzania agentami do zaufanych osób.
Inne podatności w UVdesk core-framework
Zobacz wszystkie- CVE-2025-71420Średnie
UVdesk core-framework w wersjach przed 1.1.7 zawiera podatność typu authorization bypass w endpointcie saved reply, która pozwala uwierzytelnionym agentom na dostęp do odpowiedzi zastrzeżonych dla innych grup wsparcia. Atakujący z rolą ROLE_AGENT może wyliczać identyfikatory zapisanych odpowiedzi i czytać treści zarezerwowane dla grup i zespołów, do których nie należy.
- CVE-2025-71419Średnie
UVdesk core-framework w wersjach przed 1.1.7 zawiera podatność typu stored cross-site scripting w parametrze identyfikatora konfiguracji SwiftMailer akcji createMailerConfiguration. Atakujący z rolą ROLE_AGENT może wstrzyknąć złośliwy skrypt do pola identyfikatora, który jest zapisywany i wykonywany, gdy inni członkowie uzyskają dostęp do strony aktualizacji konfiguracji.
Oryginalny opis (angielski, źródło NVD)
UVdesk core-framework before 1.1.7 contains an improper privilege management vulnerability in the editAgent endpoint that allows agents with agent-management privilege to escalate their own role to administrator. Attackers can submit their own account identifier with a role parameter set to ROLE_ADMIN to gain full administrative control over agents, tickets, and mail configuration.