Podatności Progress Sitefinity

Progress Sitefinity w wielu wersjach (14.0.7700-14.4.8152, 15.0.8200-15.0.8234, 15.1.8300-15.1.8335, 15.2.8400-15.2.8441, 15.3.8500-15.3.8531, 15.4.8600-15.4.8630) ma podatność polegającą na niewystarczającej ochronie poświadczeń. Zdalny nieuwierzytelniony atakujący może uzyskać jawne poświadczenia używane do połączenia z usługą Sitefinity Insight.

Progress Sitefinity 15.4.8623 przed wersją 15.4.8630 ma podatność związaną z niewłaściwą kontrolą dostępu. Zdalny nieuwierzytelniony atakujący może uzyskać dostęp do treści, które powinny być ograniczone, co prowadzi do pełnego naruszenia poufności, integralności i dostępności.

Podatność CWE-522: Niewystarczająco chronione poświadczenia w usługach sieciowych Progress Sitefinity w wersjach od 8.0.5700 do 13.3.7652. Zdalny uwierzytelniony atakujący może uzyskać poświadczenia w postaci jawnego tekstu używane do połączenia z usługą Sitefinity Insight. Wymagana jest aktywna integracja z Sitefinity Insight, niestandardowa konfiguracja witryny i ważna autoryzacja backendu.

W systemie Progress Sitefinity w wersjach 15.2.x przed 15.2.8441, 15.3.x przed 15.3.8531 i 15.4.x przed 15.4.8630 występuje podatność polegająca na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika. Zdalny uwierzytelniony atakujący może modyfikować właściwości kont innych użytkowników.

Progress Sitefinity w wersjach 14.1.x do 14.3.x, 14.4.x przed 14.4.8152, 15.0.x przed 15.0.8234, 15.1.x przed 15.1.8335, 15.2.x przed 15.2.8441, 15.3.x przed 15.3.8531 i 15.4.x przed 15.4.8630 zawiera podatność CWE-20 (niewłaściwa walidacja danych wejściowych) w usługach web services. Zdalny, nieuwierzytelniony atakujący może naruszyć integralność i poufność kont użytkowników. Wymagana jest interakcja użytkownika i niestandardowa konfiguracja witryny.