Podatności JhumanJ OpnForm

Odkryto lukę w bezpieczeństwie JhumanJ OpnForm do wersji 1.9.3. Dotyczy nieznanej funkcji komponentu API Endpoint i polega na podatności na cross-site request forgery. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony. Producent twierdzi, że wywołania API wymagają uwierzytelnienia przez tokeny Bearer, więc klasyczne ataki CSRF nie mają zastosowania; atakujący musiałby posiadać JWT np. poprzez XSS, które zostały złagodzone.

Podatność w JhumanJ OpnForm do wersji 1.9.3 dotyczy nieprawidłowej kontroli dostępu w pliku /edit. Atak może być przeprowadzony zdalnie. Exploit jest publicznie ujawniony. Zalecana jest poprawka b15e29021d326be127193a5dbbd528c4e37e6324.

Podatność w JhumanJ OpnForm do wersji 1.9.3 dotyczy braku autoryzacji w pliku /show/integrations. Atak może być przeprowadzony zdalnie. Exploit jest publicznie ujawniony. Zalecana jest poprawka 11d97d78f2de2cb49f79baed6bde8b611ec1f384.

W JhumanJ OpnForm do wersji 1.9.3 wykryto podatność w pliku /custom-domains w komponencie API Endpoint. Manipulacja prowadzi do braku autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Nazwa patcha to beb153ce52dceb971c1518f98333328c95f1ba20.