PT-2025-10452
CVE-2025-2124
·
تاريخ النشر
2025-03-09
·
تاريخ التحديث
2025-03-09
الوصف من
CVSS 2.0
4.0
متوسطةالمقاييسAV:N/AC:L/Au:S/C:N/I:P/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Control iD RH iD الإصدار 25.2.25.0
الوصف
تم اكتشاف ثغرة أمنية في مكون API Handler الخاص ببرنامج Control iD RH iD، تؤثر على جزء غير معروف من الملف /v2/customerdb/person.svc/change password. يؤدي التلاعب بالمعلمة
message إلى حدوث هجوم «Cross-Site Scripting». يمكن شن الهجوم عن بُعد. تم الكشف عن طريقة الاستغلال علنًا ويمكن استخدامها. تم الاتصال بالمورد مسبقًا بشأن هذا الكشف، لكنه لم يرد بأي شكل من الأشكال.التوصيات
كحل مؤقت، يُنصح بتعطيل نقطة نهاية واجهة برمجة التطبيقات (API) ”/v2/customerdb/person.svc/change password“ حتى يتوفر تصحيح.
قم بتقييد الوصول إلى مكون API Handler لتقليل مخاطر الاستغلال.
تجنب استخدام الوسيطة
message في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾