PT-2026-110592 · Logicaldoc · Logicaldoc Community Edition
CVSS v3.1
5.3
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
LogicalDOC Community Edition الإصدارات السابقة لـ 9.4
الوصف
توجد ثغرة تسمح للمهاجمين غير المصرح لهم بتحديد الحسابات الصالحة لأن نقطة النهاية 'AvatarServlet' المسماة '/avatar' لا تقوم بالتحقق من الجلسة. من خلال تقديم أسماء المستخدمين أو المعرفات الرقمية عبر المعلمة
userId ، يمكن للمهاجمين التمييز بين الصور الشفافة بحجم 1x1 والصور الشخصية الحقيقية لتعداد المستخدمين واسترجاع صور ملفاتهم الشخصية.التوصيات
تحديث LogicalDOC Community Edition إلى الإصدار 9.4 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/avatar' لمنع تعداد المستخدمين غير المصرح به.
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Logicaldoc Community Edition