PT-2021-22248 · Eigen Nlp · Eigen Nlp

Thomas Pianezzola · Publicado 2021-09-07 · Atualizado 2022-07-12 · CVE-2021-38616

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Eigen NLP versão 3.10.1

Descrição

A falta de controle de acesso no endpoint de edição do usuário “/auth/v1/user/{user-guid}/” poderia permitir que qualquer usuário conectado aumentasse suas próprias permissões por meio de uma matriz user permissions em uma solicitação PATCH. Um usuário convidado poderia modificar os perfis de outros usuários e muito mais.

Recomendações

Para o Eigen NLP versão 3.10.1, restrinja o acesso ao endpoint “/auth/v1/user/{user-guid}/” para impedir modificações não autorizadas e considere implementar um controle de acesso adequado para impedir que os usuários aumentem suas próprias permissões por meio da matriz user permissions. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Identificadores relacionados

CVE-2021-38616

Produtos afetados

Eigen Nlp

Referências · 7

• https://excellium-services.com/cert-xlm-advisory/CVE-2021-38616 · Nota
• https://excellium-services.com/cert-xlm-advisory · Nota
• https://t.me/cibsecurity/28347 · Publicação no Telegram
• https://cds.thalesgroup.com/en/tcs-cert/CVE-2021-38616 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-38616 · Nota de Segurança
• https://eigentech.com · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-38616 · Aviso do Fabricante