PT-2022-15248 · Unknown · Daybyday Crm

Publicado 2022-01-05 · Atualizado 2022-01-08 · CVE-2022-22111

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

DayByDay CRM versão 2.2.0

Descrição

O problema está relacionado à falta de autorização no aplicativo. Qualquer usuário com a permissão de atualização de usuários ativada pode alterar a senha de outros usuários, incluindo a do administrador, permitindo que um invasor obtenha acesso ao usuário com os privilégios mais elevados.

Recomendações

Para o DayByDay CRM versão 2.2.0, considere desativar a permissão de atualização de usuários para todos os usuários que não sejam administradores até que um patch esteja disponível para impedir alterações não autorizadas de senha. Restrinja o acesso aos recursos de gerenciamento de contas de usuário para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-22111

GHSA-W6RP-4VJ7-V2M8

Produtos afetados

Daybyday Crm

Referências · 7

• https://github.com/Bottelet/DaybydayCRM/commit/fe842ea5ede237443f1f45a99aeb839133115d8b · Correção
• https://github.com/Bottelet/DaybydayCRM · Nota
• https://t.me/cibsecurity/34986 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-22111 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-22111 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-w6rp-4vj7-v2m8 · Aviso do Fabricante
• https://whitesourcesoftware.com/vulnerability-database/CVE-2022-22111 · Nota