PT-2022-13857 · Unknown · Easyappointments

Publicado

2022-05-10

·

Atualizado

2022-05-16

·

CVE-2022-1397

CVSS v2.0

9.0

Alta

VetorAV:N/AC:L/Au:S/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Versões do easyappointments anteriores à 1.5.0
Descrição
O problema diz respeito a uma escalação de privilégios na API do repositório GitHub do easyappointments. Ela permite que um usuário com privilégios limitados, como um provedor, crie um novo usuário administrador por meio do endpoint “/api/v1/admins/”, o que pode levar à tomada de controle total do sistema. Isso ocorre porque a autorização da API verifica a existência do usuário sem validar suas permissões.
Recomendações
Para versões anteriores à 1.5.0, atualize para a versão 1.5.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “/api/v1/admins/” para impedir a criação não autorizada de usuários administradores. Além disso, revise as permissões dos usuários e valide-as adequadamente para evitar a escalada de privilégios.

Exploit

Correção

Improper Privilege Management

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2022-1397
GHSA-7F62-4887-CFV5

Produtos afetados

Easyappointments