PT-2020-7806 · Atutor · Atutor
Publicado
2020-03-02
·
Atualizado
2020-03-04
·
CVE-2015-1583
CVSS v2.0
6.8
Média
| Vetor | AV:N/AC:M/Au:N/C:P/I:P/A:P |
**Nome do software vulnerável e versões afetadas:
ATutor versão 2.2
Descrição:
A vulnerabilidade permite que invasores remotos se apropriem da autenticação de administradores em solicitações que criam uma conta de administrador por meio de uma solicitação para “mods/ core/users/admins/create.php” ou criam uma conta de usuário por meio de uma solicitação para “mods/ core/users/create user.php”. Isso se deve a múltiplas vulnerabilidades de falsificação de solicitação entre sites (CSRF).
Recomendações:
Para o ATutor versão 2.2, como solução temporária, considere desativar o acesso aos endpoints “mods/ core/users/admins/create.php” e “mods/ core/users/create user.php” até que um patch esteja disponível. Restrinja o acesso a esses endpoints para minimizar o risco de exploração. Evite usar esses endpoints em tarefas administrativas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Atutor