Beni Saprulah

Sonatype Nexus Repository 3 allows a user that holds the role create or role update permission to grant roles and privileges that the account does not hold. This can give the user more access than intended, up to full administrative access.

**Name of the Vulnerable Software and Affected Versions** Nexus Repository 3 versions 3.2.0 through 3.95.x **Description** A sensitive information disclosure issue exists in the capability read API. An account with the `nexus:capabilities:read` privilege can retrieve the plaintext shared secret configured on a webhook capability, which should be masked in all API responses. **Recommendations** Update to version 3.96.0.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** يتعذر تحديد اسم المنتج (لم يتم تحديد الإصدارات المتأثرة) **الوصف** يمكن للمستخدم الذي يتمتع بأذونات تحديث تعريفات الامتيازات تعديل امتياز بديل مخصص لدوره الخاص. وهذا يتيح له منح نفسه أذونات أوسع نطاقًا من تلك المصرح بها، مما قد يؤدي إلى الحصول على وصول إداري كامل، حيث يفشل النظام في إجراء فحوصات تفويض إضافية أو طلب إعادة تخصيص الدور. **التوصيات** في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.