PT-2020-11924 · Zammad · Zammad

Publicado 2020-03-05 · Atualizado 2021-07-21 · CVE-2020-10100

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 3.0 a 3.2 do Zammad

Descrição

Uma falha na aplicação permite que os usuários visualizem detalhes de tickets associados a clientes específicos devido a uma implementação inadequada dos controles de acesso. Isso permite que usuários de uma empresa acessem dados de tickets de outras empresas, o que pode levar ao vazamento de dados confidenciais. A natureza multilocatária do aplicativo agrava esse problema, pois os usuários podem acessar detalhes de tickets de uma organização para outra.

Recomendações

Para as versões 3.0 a 3.2 do Zammad, considere restringir o acesso aos detalhes de clientes em tickets para impedir que os usuários acessem dados de outras empresas até que uma correção adequada seja implementada. Como solução alternativa temporária, limite a funcionalidade que permite aos usuários visualizar detalhes de clientes em tickets associados a clientes específicos.

Correção

Identificadores relacionados

CVE-2020-10100

Produtos afetados

Zammad

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2020-10100 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-10100 · Aviso do Fabricante
• https://zammad.com/news/security-advisory-zaa-2020-05 · Aviso do Fabricante
• https://t.me/cvenotify/1345 · Publicação no Telegram