PT-2022-16324 · Rainworx · Auctionworx: Events Edition+1

Publicado 2022-05-02 · Atualizado 2022-05-10 · CVE-2022-23904

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Rainworx Auctionworx anteriores à 3.1R2

Descrição

A vulnerabilidade permite que um usuário autenticado execute um ataque de falsificação de solicitação entre sites (CSRF), o que pode elevar a conta do usuário ao nível de administrador e fornecer acesso ao painel de controle administrativo do Auctionworx. Isso afeta o AuctionWorx Enterprise e o AuctionWorx: Events Edition.

Recomendações

Para versões anteriores à 3.1R2, atualize para a versão 3.1R2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao painel de controle de administrador para minimizar o risco de exploração.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-23904

Produtos afetados

Auctionworx Enterprise

Auctionworx: Events Edition

Referências · 5

• 🔥 https://ebereorisi.com/blog/account-privilege-upgrade-on-auctionworx-software-cve-2022-23904 · Exploit
• https://t.me/cibsecurity/41718 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-23904 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-23904 · Aviso do Fabricante
• https://rainworx.com · Aviso do Fabricante