Alf.Io · Alf.Io · CVE-2024-25635
**Nome do software vulnerável e versões afetadas**
Versões do alf.io anteriores à 2.0-Mr-2402
**Descrição**
A vulnerabilidade permite que os proprietários de organizações visualizem a chave de API (API KEY) e os usuários (USERS) gerados por outros proprietários de organizações. Isso ocorre por meio do endpoint “http://192.168.26.128:8080/admin/api/users/<user id>”, que expõe os detalhes do `user id` fornecido. A chave API também pode ser exposta no nome de usuário do usuário.
**Recomendações**
Para versões anteriores à 2.0-Mr-2402, atualize para a versão 2.0-M4-2402 para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso ao endpoint “http://192.168.26.128:8080/admin/api/users/<user id>” até que a atualização seja aplicada.