PT-2025-18314 · Opencti · Opencti
Itlabbet
·
Publicado
2025-04-30
·
Atualizado
2025-05-19
·
CVE-2025-24887
CVSS v3.1
6.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L |
Nome do Software Vulnerável e Versões Afetadas
Versões do OpenCTI 6.4.8 a 6.4.9
Descrição
O problema permite que um usuário contorne listas de permissão e negação e modifique atributos que deveriam ser imodificáveis. Isso inclui alternar a flag
external (ativar/desativar), alterar o valor do token do próprio usuário e editar atributos que não estão na lista de permissão, como otp qr e otp activated. Se existirem usuários externos na configuração do OpenCTI com informações sensíveis de identidade, isso pode ser usado para enumerar contas de usuário existentes como um usuário padrão com baixos privilégios.Recomendações
Para as versões do OpenCTI 6.4.8 a 6.4.9, atualize para a versão 6.4.10 para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de modificação da flag
external e do valor do token até que a atualização seja aplicada. Além disso, limite as capacidades de edição para atributos que não estão na lista de permissão, como otp qr e otp activated, para minimizar o risco de exploração.Exploit
Correção
LPE
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Opencti