PT-2025-48074 · Primakon · Pi Portal
CVE-2025-64067
·
Publicado
2025-11-25
·
Atualizado
2025-12-01
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Primakon Pi Portal versão 1.0.18
Descrição
Os endpoints de API responsáveis por recuperar dados específicos de objetos ou filtrados, como perfis de usuário e registros de projeto, não validam adequadamente a autorização no lado do servidor. Isso permite acesso não autorizado a objetos e dados pertencentes a outros usuários através da manipulação direta de ID e da omissão de filtros. Especificamente, modificar o parâmetro
user id ou project id em uma requisição pode conceder acesso aos dados de outro usuário. A omissão de um parâmetro de filtragem pode resultar no retorno de um conjunto de dados não filtrado contendo registros de todos os usuários. Isso leva à exposição de informações pessoais e organizacionais sensíveis.Recomendações
Implementar validação robusta no lado do servidor para confirmar que o usuário solicitante está autorizado a acessar o objeto ou conjunto de dados requisitado.
Garantir que todos os endpoints de API apliquem corretamente os controles de acesso com base nas funções e permissões do usuário.
Implementar mecanismos de filtragem adequados para prevenir a recuperação de conjuntos de dados não filtrados.
Exploit
Correção
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Pi Portal