PT-2021-15302 · Unknown · Concrete Cms
Adrian H
·
Publicado
2021-11-19
·
Atualizado
2021-11-23
·
CVE-2021-22967
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Concrete CMS anteriores à 8.5.7
Descrição
A vulnerabilidade permite que um usuário não autenticado acesse arquivos restritos caso tenha permissão para adicionar uma mensagem a uma conversa. Isso se deve a uma vulnerabilidade de Referência Direta a Objetos Insegura (IDOR). Para corrigir isso, foi adicionada uma verificação para confirmar se o usuário possui permissões para visualizar arquivos antes de anexá-los a uma mensagem na funcionalidade “adicionar/editar mensagem”.
Recomendações
Para versões anteriores à 8.5.7, atualize para a versão 8.5.7 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade “adicionar/editar mensagem” para minimizar o risco de exploração. Além disso, certifique-se de que os usuários tenham as permissões adequadas para visualizar arquivos antes de permitir que anexem arquivos às mensagens.
Correção
Information Disclosure
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Concrete Cms