PT-2025-2876 · Indico · Indico

Thiefmaster · Publicado 2025-01-10 · Atualizado 2025-01-21 · CVE-2024-50633

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Indico de 3.2.9 a 3.3.5

Descrição Uma vulnerabilidade de Autorização Quebrada de Nível de Objeto (BOLA) permite que atacantes leiam ou acessem informações confidenciais ao enviar uma requisição POST manipulada ao componente "/api/principals". O fornecedor contesta essa questão, afirmando que o produto foi projetado para permitir que todos os usuários recuperem determinadas informações sobre outras contas de usuário.

Recomendações Para as versões do Indico de 3.2.9 a 3.3.5, como medida de contorno temporária, considere restringir o acesso ao componente "/api/principals" até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

IDOR

Missing Authorization

Enumeração de Fraquezas

CWE-201

CWE-639

CWE-862

Identificadores relacionados

CVE-2024-50633

GHSA-3WG7-R7Q5-R2JF

Produtos afetados

Indico

Referências · 10

• 🔥 https://github.com/cetinpy/CVE-2024-50633/issues/1 · Exploit
• 🔥 https://github.com/cetinpy/CVE-2024-50633 · Exploit
• https://github.com/indico/indico · Nota
• https://osv.dev/vulnerability/GHSA-3wg7-r7q5-r2jf · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-50633 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1880625665445421143 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-50633 · Nota de Segurança
• https://t.me/cvedetector/15601 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1877756000536518703 · Publicação no Twitter
• https://t.me/cvenotify/108026 · Publicação no Telegram