PT-2022-15243 · Unknown · Daybyday Crm

Publicado 2022-01-05 · Atualizado 2022-01-08 · CVE-2022-22107

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Daybyday CRM, versões 2.0.0 a 2.2.0

Descrição

A vulnerabilidade permite que um invasor com uma conta de privilégios mínimos, especificamente um usuário do tipo “funcionário”, visualize os compromissos de todos os usuários do sistema, incluindo administradores. Isso representa um problema, pois esse tipo de usuário não tem autorização para visualizar o calendário.

Recomendações

Para as versões 2.0.0 a 2.2.0 do Daybyday CRM, considere restringir o acesso ao recurso de calendário para usuários do tipo funcionário até que uma correção esteja disponível. Como solução temporária, limite os privilégios dos usuários do tipo funcionário para impedir que visualizem compromissos de outros usuários, incluindo administradores. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-22107

GHSA-44GV-FGCJ-W546

Produtos afetados

Daybyday Crm

Referências · 7

• https://github.com/Bottelet/DaybydayCRM/commit/a0392f4a4a14e1e3fedaf6817aefce69b6bd661b · Correção
• https://github.com/Bottelet/DaybydayCRM · Nota
• https://osv.dev/vulnerability/GHSA-44gv-fgcj-w546 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-22107 · Nota de Segurança
• https://whitesourcesoftware.com/vulnerability-database/CVE-2022-22107 · Nota
• https://t.me/cibsecurity/34988 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-22107 · Aviso do Fabricante