Luka wynika z poświadczeń przechowywanych przez aplikację w postaci zwykłego tekstu w pliku konfiguracyjnym w systemie. Użytkownik lokalny może przeglądać zawartość pliku konfiguracyjnego i uzyskiwać dostęp do haseł do integracji innych firm.
Numer CVE
CVE-2023-28399
Krytyczność
7,8/10
CVSS
AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Opis
Luka wynika z nieprawidłowego przypisania uprawnień do krytycznego zasobu na liście ACL (Access Control List). Użytkownik lokalny może uzyskać podwyższone uprawnienia w systemie.
Numer CVE
CVE-2023-28657
Krytyczność
8,8/10
CVSS
AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Opis
Luka w zabezpieczeniach występuje z powodu niewłaściwych ograniczeń dostępu. Zdalny użytkownik może ominąć wprowadzone ograniczenia bezpieczeństwa i uzyskać nieautoryzowany dostęp do aplikacji.
Numer CVE
CVE-2023-28651
Krytyczność
4,8/10
CVSS
AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
Opis
Luka w zabezpieczeniach istnieje z powodu niewystarczającego oczyszczenia danych dostarczonych przez użytkownika. Zdalny użytkownik może oszukać ofiarę, aby podążyła za specjalnie spreparowanym linkiem i wykonała dowolny kod HTML i skrypt w przeglądarce użytkownika w kontekście podatnej na ataki strony internetowej. Pomyślne wykorzystanie tej luki może umożliwić zdalnemu atakującemu kradzież potencjalnie poufnych informacji, zmianę wyglądu strony internetowej, przeprowadzanie ataków typu phishing i drive-by-download.
Numer CVE
CVE-2023-28824
Krytyczność
4,3/10
CVSS
AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Opis
Luka w zabezpieczeniach występuje z powodu niewystarczającej weryfikacji danych wprowadzonych przez użytkownika. Zdalny użytkownik może wysłać specjalnie spreparowane żądanie HTTP i oszukać aplikację, aby zainicjowała żądania do dowolnych systemów. Pomyślne wykorzystanie tej luki może umożliwić zdalnemu atakującemu uzyskanie dostępu do poufnych danych znajdujących się w sieci lokalnej lub wysłanie złośliwych żądań do innych serwerów z podatnego systemu.
Numer CVE
CVE-2023-29154
Krytyczność
6,7/10
CVSS
AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L
Opis
Luka w zabezpieczeniach istnieje z powodu niewystarczającego oczyszczenia danych dostarczonych przez użytkownika. Zdalny administrator może wysłać specjalnie spreparowane żądanie do aplikacji, której dotyczy problem, i wykonać dowolne polecenia SQL w bazie danych aplikacji. Pomyślne wykorzystanie tej luki może pozwolić osobie atakującej zdalnie odczytać, usunąć, zmodyfikować dane w bazie danych i uzyskać pełną kontrolę nad aplikacją, której dotyczy luka.
Numer CVE
CVE-2023-2758
Krytyczność
3,7/10
CVSS
AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
Opis
Luka wynika z niewłaściwej kontroli częstotliwości interakcji. Osoba atakująca zdalnie może spowodować, że użytkownik produktu nie będzie mógł się zalogować.
+48 22242 1996
+48 571 207 996
cert@pse.pl 
klucz publiczny