Podatności Tuleap

Podatność w Tuleap (Community Edition przed 17.0.99.1763803709 oraz Enterprise Edition przed 17.0-4 i 16.13-9) polegająca na braku ochrony CSRF w zależnościach pól trackera, umożliwiająca atakującym modyfikację pól trackera.

Tuleap to darmowy zestaw narzędzi open source do zarządzania rozwojem oprogramowania i współpracą. Wersje Tuleap Community Edition przed 17.0.99.1763126988 oraz Tuleap Enterprise Edition przed 17.0-3 i 16.13-8 mają brakujące zabezpieczenia CSRF, co pozwala atakującym na tworzenie lub usuwanie wyzwalaczy trackerów. Problem naprawiono w wersji Tuleap Community Edition 17.0.99.1763126988 oraz Tuleap Enterprise Edition 17.0-3 i 16.13-8.

Tuleap Community Edition przed wersją 17.0.99.1762456922 oraz Tuleap Enterprise Edition przed wersjami 17.0-2, 16.13-7 i 16.12-10 są podatne na ataki CSRF poprzez API zarządzania planowaniem. Atakujący mogą tworzyć, edytować lub usuwać plany.

Tuleap to zestaw narzędzi open source do zarządzania rozwojem oprogramowania i współpracą. Wersje Tuleap Community Edition poniżej 17.0.99.1762444754 oraz Tuleap Enterprise Edition przed 17.0-2, 16.13-7 i 16.12-10 pozwalają atakującym nakłonić ofiary do zmiany ogólnych ustawień trackera. Problem naprawiono w wersji Tuleap Community Edition 17.0.99.1762444754 oraz Tuleap Enterprise Edition 17.0-2, 16.13-7 i 16.12-10.

Tuleap Community Edition w wersjach poniżej 17.0.99.1762431347 oraz Tuleap Enterprise Edition w wersjach poniżej 17.0-2, 16.13-7 i 16.12-10 pozwalają atakującym na dostęp do informacji o systemie wydań plików w projektach, do których nie mają dostępu. Problem został naprawiony w wersji 17.0.99.1762431347 Community Edition oraz w wersjach 17.0-2, 16.13-7 i 16.12-10 Enterprise Edition.

Tuleap ma problem z zarządzaniem uprawnieniami użytkowników po zmianie widoczności projektu. Użytkownicy z ograniczonym dostępem, którzy byli administratorami projektu przed zmianą, nadal mają dostęp do projektu i mogą wykonywać działania administracyjne.