PT-2024-20516 · Unknown · Latepoint Plugin

Gharib Sharifi + 1 · Publicado 2024-06-14 · Atualizado 2024-06-17 · CVE-2024-2472

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do plugin LatePoint até a 4.9.9, inclusive

Descrição

O problema está relacionado à falta de uma verificação de permissão na função start or use session for customer, permitindo acesso não autorizado e modificação de dados. Isso permite que invasores não autenticados visualizem os painéis de outros clientes, incluindo informações confidenciais como endereços de e-mail, e alterem suas senhas de usuário do LatePoint.

Recomendações

Para versões até e incluindo a 4.9.9, atualize para uma versão que inclua uma verificação de permissão na função start or use session for customer para impedir o acesso não autorizado e a modificação de dados. Como solução temporária, considere restringir o acesso à função start or use session for customer até que um patch esteja disponível.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2024-2472

Produtos afetados

Latepoint Plugin

Referências · 9

• https://aramhairchitects.nl · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/6215fa9f-06bc-4dc8-b1f5-a3bb75749f1d?source=cve · Nota
• https://t.me/cvenotify/83283 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1801555445368164624 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1801673811768840248 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-2472 · Aviso do Fabricante
• https://websec.nl/blog/critical-idor-vulnerability-in-latepoint-plugin-exposes-sensitive-data-666b78446e63d6dcdb0f73bf · Nota
• https://wpdocs.latepoint.com/changelog · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-2472 · Nota de Segurança