PT-2022-20454 · Elabftw · Elabftw

Anargam + 1 · Publicado 2022-05-31 · Atualizado 2022-06-10 · CVE-2022-31007

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do eLabFTW anteriores à 4.3.0

Descrição

A vulnerabilidade permite que um usuário autenticado com função de administrador em uma equipe atribua a si mesmo privilégios de administrador de sistema dentro do aplicativo ou crie uma nova conta de administrador de sistema. No contexto do eLabFTW, um administrador é uma conta de usuário com certos privilégios para gerenciar usuários e conteúdo na(s) equipe(s) a que está designado. Uma conta de administrador de sistema pode gerenciar todas as contas e equipes, além de editar configurações de todo o sistema dentro do aplicativo. O impacto não é considerado alto, pois requer que o invasor tenha acesso a uma conta de administrador. Contas de usuário comuns não podem explorar essa vulnerabilidade para obter direitos de administrador.

Recomendações

Para versões anteriores à 4.3.0, atualize para a versão 4.3.0 para resolver o problema.

Como solução alternativa temporária, considere remover a capacidade dos administradores de criar contas até que o problema seja resolvido.

Exploit

Correção

Enumeração de Fraquezas

CWE-1287

CWE-842

Identificadores relacionados

CVE-2022-31007

GHSA-937C-M7P3-775V

Produtos afetados

Elabftw

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31007.json · Exploit
• https://github.com/elabftw/elabftw/releases/tag/4.3.0 · Nota
• https://github.com/elabftw/elabftw/security/advisories/GHSA-937c-m7p3-775v · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-31007 · Nota de Segurança
• https://t.me/cvenotify/30936 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-31007 · Aviso do Fabricante
• https://t.me/cibsecurity/43585 · Publicação no Telegram