PT-2021-3962 · Dolibarr · Dolibarr

Hagai Wechsler · Publicado 2021-08-09 · Atualizado 2022-10-25 · CVE-2021-25954

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Dolibarr 2.8.1 a 13.0.4

Descrição

O problema está relacionado a um controle de acesso inadequado no aplicativo Dolibarr, permitindo que um invasor com privilégios limitados modifique a Nota Privada, que deveria ser acessível apenas por administradores. O campo afetado está localizado no endpoint “/adherents/note.php?id=1”. Isso poderia afetar a integridade das informações protegidas.

Recomendações

Para as versões 2.8.1 a 13.0.4, considere restringir o acesso ao endpoint “/adherents/note.php?id=1” para impedir a modificação não autorizada da Nota Privada. Como solução temporária, considere desativar a modificação de Notas Privadas para usuários com privilégios limitados até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Incorrect Authorization

Improper Access Control

Enumeração de Fraquezas

CWE-863

CWE-284

Identificadores relacionados

BDU:2021-04481

CVE-2021-25954

GHSA-VXHC-C4QM-647P

Produtos afetados

Dolibarr

Referências · 11

• https://github.com/Dolibarr/dolibarr · Nota
• https://github.com/Dolibarr/dolibarr/commit/8cc100012d46282799fb19f735a53b7101569377 · Correção
• https://cve.org/CVERecord?id=CVE-2021-25954 · Nota de Segurança
• https://whitesourcesoftware.com/vulnerability-database/CVE-2021-25954 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-25954 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-vxhc-c4qm-647p · Aviso do Fabricante
• https://t.me/cibsecurity/27019 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-25954 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-04481 · Nota de Segurança
• https://ubuntu.com/security/CVE-2021-25954 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-25954 · Aviso do Fabricante