PT-2020-14313 · October · October Cms

Hoan Hoang · Publicado 2020-11-23 · Atualizado 2021-11-18 · CVE-2020-15248

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.6

Média

Vetor base

AV:L/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do October CMS de 1.0.319 a 1.0.470

Descrição

O October CMS é uma plataforma CMS gratuita, de código aberto e auto-hospedada, baseada no framework PHP Laravel. Nas versões afetadas, usuários de backend com a função padrão do sistema “Publisher” têm acesso para criar e gerenciar usuários, permitindo-lhes escolher qual função o novo usuário terá. Isso significa que um usuário com acesso “Publisher” tem a capacidade de elevar seu acesso para “Developer”.

Recomendações

Para as versões 1.0.319 a 1.0.470, atualize para a Build 470 (v1.0.470) ou v1.1.1 para resolver o problema.

Como solução alternativa temporária para versões que não podem ser atualizadas para a Build 470 ou v1.1.1, aplique o patch manual disponível em https://github.com/octobercms/october/commit/78a37298a4ed4602b383522344a31e311402d829 à sua instalação.

Correção

Incorrect Authorization

Improper Privilege Management

Enumeração de Fraquezas

CWE-863

CWE-269

Identificadores relacionados

CVE-2020-15248

GHSA-RFJC-XRMF-5VVW

Produtos afetados

October Cms

Referências · 9

• https://github.com/octobercms/october/commit/4c650bb775ab849e48202a4923bac93bd74f9982 · Nota
• https://github.com/octobercms/october/security/advisories/GHSA-rfjc-xrmf-5vvw · Nota
• https://github.com/octobercms/october/commit/78a37298a4ed4602b383522344a31e311402d829 · Correção
• https://github.com/octobercms/october · Nota
• https://t.me/cvenotify/6060 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-rfjc-xrmf-5vvw · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15248 · Nota de Segurança
• https://t.me/cibsecurity/16730 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-15248 · Aviso do Fabricante