PT-2022-18383 · Mcms · Mcms

Publicado 2022-04-22 · Atualizado 2022-05-06 · CVE-2022-27340

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

MCMS versão 5.2.7

Descrição

O problema está relacionado a uma falsificação de solicitação entre sites (CSRF) que ocorre por meio do endpoint /role/saveOrUpdateRole.do. Isso permite que invasores aumentem seus privilégios e modifiquem dados.

Recomendações

Para a versão 5.2.7 do MCMS, considere desativar o acesso ao endpoint /role/saveOrUpdateRole.do até que uma correção esteja disponível para impedir a exploração. Também é recomendável restringir privilégios para minimizar o risco de modificação de dados. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-27340

GHSA-G94P-H263-C26Q

Produtos afetados

Mcms

Referências · 6

• 🔥❌ https://github.com/UDKI11/vul/blob/main/Mcms%E8%B7%A8%E7%AB%99%E8%AF%B7%E6%B1%82%E4%BC%AA%E9%80%A0.docx · Exploit, Deleted
• https://github.com/ming-soft/MCMS · Nota
• https://osv.dev/vulnerability/CVE-2022-27340 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-g94p-h263-c26q · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-27340 · Nota de Segurança
• https://t.me/cibsecurity/41345 · Publicação no Telegram