Servicenow · Servicenow · CVE-2025-3648
**Nome do Software Vulnerável e Versões Afetadas:**
Versões do Now Platform anteriores a março de 2025
Versões do Now Platform anteriores a setembro de 2024
**Descrição:**
Existe uma vulnerabilidade na Now Platform que pode permitir inferência não autorizada de dados. Sob configurações específicas de Listas de Controle de Acesso (ACLs) condicionais, usuários autenticados e não autenticados podem ser capazes de utilizar solicitações de consulta de intervalo para acessar dados da instância que não estão autorizados a visualizar. A vulnerabilidade, também conhecida como "Count(er) Strike", permite que usuários com baixos privilégios contornem as ACLs e extraiam dados sensíveis. A exploração ocorre através de filtros de URL e requer acesso mínimo às tabelas de destino. A vulnerabilidade poderia potencialmente expor Informações Pessoalmente Identificáveis (PII), credenciais e informações financeiras.
**Recomendações:**
Versões do Now Platform anteriores a março de 2025: Aplique a atualização de segurança lançada em março de 2025 para aprimorar as configurações de ACL.
Versões do Now Platform anteriores a setembro de 2024: Aplique a atualização de segurança lançada em setembro de 2024 para aprimorar as configurações de ACL.
Revise e configure corretamente as Listas de Controle de Acesso (ACLs) para prevenir o acesso não autorizado a dados.