Podatności UVdesk core-framework
3 znanych podatności CVE w UVdesk core-framework, przetłumaczonych i ocenionych.
- CVE-2025-71421Wysokie
UVdesk core-framework przed wersją 1.1.7 zawiera lukę niewłaściwego zarządzania uprawnieniami w punkcie końcowym editAgent, pozwalającą agentom z uprawnieniami do zarządzania agentami eskalować własną rolę do administratora. Atakujący może przesłać własny identyfikator konta z parametrem roli ustawionym na ROLE_ADMIN, aby uzyskać pełną kontrolę administracyjną nad agentami, zgłoszeniami i konfiguracją poczty.
- CVE-2025-71420Średnie
UVdesk core-framework w wersjach przed 1.1.7 zawiera podatność typu authorization bypass w endpointcie saved reply, która pozwala uwierzytelnionym agentom na dostęp do odpowiedzi zastrzeżonych dla innych grup wsparcia. Atakujący z rolą ROLE_AGENT może wyliczać identyfikatory zapisanych odpowiedzi i czytać treści zarezerwowane dla grup i zespołów, do których nie należy.
- CVE-2025-71419Średnie
UVdesk core-framework w wersjach przed 1.1.7 zawiera podatność typu stored cross-site scripting w parametrze identyfikatora konfiguracji SwiftMailer akcji createMailerConfiguration. Atakujący z rolą ROLE_AGENT może wstrzyknąć złośliwy skrypt do pola identyfikatora, który jest zapisywany i wykonywany, gdy inni członkowie uzyskają dostęp do strony aktualizacji konfiguracji.