PT-2024-22255 · Bonitasoft · Bonitasoft Runtime Community Edition

CVE-2024-28087 · Publicado 2024-05-15 · Atualizado 2024-09-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Bonitasoft Runtime Community Edition (versões afetadas não especificadas)

Descrição

O problema está relacionado à falta de permissões dinâmicas na edição Community do Bonitasoft runtime, o que causa uma vulnerabilidade do tipo Insecure Direct Object Reference (IDOR). É mencionado que as permissões dinâmicas estavam anteriormente disponíveis apenas na edição Subscription, mas agora foram adicionadas à edição Community, embora sem opções de personalização.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Access Control

IDOR

Enumeração de Fraquezas

CWE-284

CWE-639

Identificadores relacionados

CVE-2024-28087

GHSA-76V2-48W6-CRXR

Produtos afetados

Bonitasoft Runtime Community Edition

Referências · 8

• https://github.com/bonitasoft/bonita-engine/commit/1b3ac00f0178bfcfe8f01811a249b1893f0b1da1 · Nota
• https://github.com/bonitasoft/bonita-engine · Nota
• https://osv.dev/vulnerability/GHSA-76v2-48w6-crxr · Aviso do Fabricante
• https://t.me/cvenotify/79888 · Publicação no Telegram
• https://documentation.bonitasoft.com/bonita/latest/release-notes#_fixes_in_bonita_2024_1_2024_04_11 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-28087 · Nota de Segurança
• https://documentation.bonitasoft.com/bonita/2024.1/release-notes#_fixes_in_bonita_2024_1_u0_2024_04_11 · Nota
• https://t.me/cvenotify/91285 · Publicação no Telegram