PT-2022-15244 · Unknown · Daybyday Crm

Publicado 2022-01-05 · Atualizado 2022-01-08 · CVE-2022-22108

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Daybyday CRM, versões 2.0.0 a 2.2.0

Descrição

A vulnerabilidade permite que um invasor com uma conta de privilégios mínimos, especificamente um usuário do tipo “funcionário”, visualize as ausências de todos os usuários do sistema, incluindo administradores. Esse tipo de usuário não está autorizado a visualizar esse tipo de informação.

Recomendações

Para as versões 2.0.0 a 2.2.0 do Daybyday CRM, considere restringir o acesso aos recursos de visualização de ausências para minimizar o risco de exploração até que uma correção esteja disponível. Como solução temporária, limite os privilégios dos usuários do tipo “funcionário” para impedir que acessem informações confidenciais.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-22108

GHSA-FRXP-XXX8-HRG6

Produtos afetados

Daybyday Crm

Referências · 7

• https://github.com/Bottelet/DaybydayCRM/commit/fe842ea5ede237443f1f45a99aeb839133115d8b · Correção
• https://github.com/Bottelet/DaybydayCRM · Nota
• https://whitesourcesoftware.com/vulnerability-database/CVE-2022-22108 · Nota
• https://osv.dev/vulnerability/CVE-2022-22108 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-22108 · Nota de Segurança
• https://t.me/cibsecurity/34985 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-frxp-xxx8-hrg6 · Aviso do Fabricante