PT-2024-11556 · Ovaledge · Ovaledge

Publicado 2024-10-25 · Atualizado 2024-10-31 · CVE-2022-30358

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

OvalEdge versões 5.2.8.0 e anteriores

Descrição

A vulnerabilidade permite a apropriação de conta por meio de uma solicitação POST para “/user/updatePassword” utilizando os parâmetros userId e newPsw. É necessária autenticação para explorar essa vulnerabilidade.

Recomendações

Para as versões 5.2.8.0 e anteriores do OvalEdge, como solução temporária, considere restringir o acesso ao endpoint “/user/updatePassword” ou desativar o uso dos parâmetros userId e newPsw neste contexto até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2022-30358

Produtos afetados

Ovaledge

Referências · 5

• 🔥 https://cve.offsecguy.com/ovaledge/vulnerabilities/account-takeover#cve-2022-30358 · Exploit
• https://t.me/cvedetector/8964 · Publicação no Telegram
• https://t.me/cvenotify/100194 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-30358 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-30358 · Nota de Segurança