PT-2020-19904 · Prototype · Prototype

Publicado 2020-01-27 · Atualizado 2021-07-21 · CVE-2020-7993

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Prototype versão 1.6.0.1

Descrição

A vulnerabilidade permite que usuários remotos autenticados falsifiquem a criação de tickets em nome de outras contas de usuário, modificando o campo email ID.

Recomendações

Para a versão 1.6.0.1 do Prototype, considere restringir o acesso à funcionalidade de criação de tickets até que uma correção esteja disponível. Como solução temporária, valide e sanitize o campo email ID para impedir modificações e garantir que ele corresponda à conta do usuário autenticado.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2020-7993

Produtos afetados

Prototype

Referências · 9

• 🔥 https://medium.com/@vbharad/improper-access-control-vulnerability-in-prototype-1-6-0-1-framework-379cc3a05079 · Exploit
• https://github.com/prototypejs/prototype/blob/master/CHANGELOG · Nota
• https://medium.com/%40vbharad/improper-access-control-vulnerability-in-prototype-1-6-0-1-framework-379cc3a05079 · Nota
• https://t.me/thebugbountyhunter/3727 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-7993 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-7993 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-7993 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-7993 · Nota de Segurança
• https://ubuntu.com/security/CVE-2020-7993 · Aviso do Fabricante