Podatności ZenTao PMS

ZenTao PMS do wersji 22.6 zawiera podatność braku autoryzacji w doc::ajaxGetDoc(), która pozwala uwierzytelnionym użytkownikom czytać dokumenty bez sprawdzenia uprawnień checkPrivDoc(). Atakujący z niskimi uprawnieniami mogą enumerować sekwencyjne identyfikatory dokumentów, aby uzyskać treść i wersje robocze prywatnych dokumentów oraz dokumentów z ograniczonych bibliotek, produktów, projektów lub zespołów.

ZenTao PMS przed wersją 22.3 zawiera podatność obejścia autoryzacji w commonModel::isOpenMethod(), która pozwala zalogowanym użytkownikom pominąć kontrole ACL oparte na grupach dla dowolnej metody zawierającej „ajax”. Użytkownicy z minimalnymi uprawnieniami mogą wywoływać metody takie jak task.ajaxGetByID, system.ajaxDBAuthUrl i admin.ajaxChangeTableEngine, aby czytać dane, uzyskiwać poświadczenia bazy danych, uruchamiać zadania CI i modyfikować tabele.

ZenTao PMS do wersji 22.6 zawiera podatność obejścia autoryzacji w action::editComment, umożliwiającą uwierzytelnionym użytkownikom odczytywanie i nadpisywanie komentarzy innych użytkowników poprzez podanie dowolnego actionID. Atakujący mogą iterować kolejne identyfikatory akcji, aby modyfikować komentarze do błędów, historii, zadań i dokumentów w produktach i projektach, do których nie mają dostępu, oraz przeglądać zawartość docelowych komentarzy i załączników.