PT-2022-19247 · Zapier · Code By Zapier

Michael Bargury · Publicado 2022-09-21 · Atualizado 2025-05-27 · CVE-2022-28802

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Code by Zapier anteriores a 17/08/2022

Descrição O problema permitia escalonamento de privilégios dentro da conta, incluindo a execução de código Python ou JavaScript, efetivamente fornecendo uma máquina virtual de propósito geral controlada pelo cliente. Isso concedeu não intencionalmente acesso total a todos os usuários de uma conta da empresa, em vez de aplicar o controle de acesso baseado em função dentro da conta dessa empresa.

Recomendações Para versões anteriores a 17/08/2022, considere usar uma máquina virtual separada para aplicativos que mantêm credenciais ou outros segredos que não devem ser compartilhados entre todos os funcionários, o que exigiria múltiplas contas para operar essas máquinas virtuais independentes.

Correção

LPE

Incorrect Permission

Enumeração de Fraquezas

CWE-732

Identificadores relacionados

CVE-2022-28802

Produtos afetados

Code By Zapier

Referências · 6

• https://zenity.io/blog/zapescape-vulnerability-disclosure · Aviso do Fabricante
• https://t.me/cvenotify/123741 · Publicação no Telegram
• https://t.me/cibsecurity/50244 · Publicação no Telegram
• https://zenity.io/blog/zapescape-organization-wide-control-over-code-by-zapier · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-28802 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-28802 · Nota de Segurança