PT-2024-35952 · Unknown · Centurion Erp

Jon-Nfc · Publicado 2024-11-27 · Atualizado 2025-09-23 · CVE-2024-53855

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas:

Versões do Centurion ERP anteriores à 1.3.1

Descrição:

Um usuário com permissões de visualização para um ticket pode visualizar os tickets de outra organização da qual não faz parte, caso possua permissões específicas, tais como view ticket change, view ticket incident, view ticket request ou view ticket problem. Este problema se aplica ao navegar pelos endpoints da API para os tickets em questão e não afeta a interface do usuário do Centurion nem as Tarefas do Projeto.

Recomendações:

Para versões anteriores à 1.3.1, atualize para a versão 1.3.1 para resolver o problema.

Como solução alternativa temporária, considere remover as permissões de visualização de tickets dos usuários para mitigar essa vulnerabilidade.

Exploit

Correção

Enumeração de Fraquezas

CWE-653

Identificadores relacionados

CVE-2024-53855

GHSA-H9Q2-FCC6-R65C

Produtos afetados

Centurion Erp

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/53xxx/CVE-2024-53855.json · Exploit
• https://twitter.com/CVEnew/status/1861844077253210408 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-53855 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-53855 · Nota de Segurança
• https://github.com/nofusscomputing/centurion_erp/security/advisories/GHSA-h9q2-fcc6-r65c · Aviso do Fabricante
• https://github.com/nofusscomputing/centurion_erp/pull/399/commits/61f34876ed0f8362f7185bd5eecfc830a9de5cb0 · Correção
• https://t.me/cveNotify/136143 · Publicação no Telegram
• https://github.com/nofusscomputing/centurion_erp/releases/tag/1.3.1 · Nota
• https://github.com/nofusscomputing/centurion_erp/pull/399 · Nota