PT-2026-111554 · Espocrm+1 · Espocrm
CVSS v4.0
5.3
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
EspoCRM الإصدارات من 4.0.0 إلى 10.0.6
الوصف
توجد مشكلة في التحكم في الوصول تسمح للمستخدمين المصرح لهم بقراءة قيم الحقول المدققة والمقيدة بأمان على مستوى الحقل. من خلال جلب ملاحظات التدفق الفردية، يمكن للمستخدم الذي لديه وصول إلى تدفق سجل أب طلب نقطة النهاية 'GET /Note/{id}'. يتجاوز هذا الإجراء فلتر
NoteAccessControl مما يسمح باستعادة قيم data.attributes.was و became للحقول المقيدة.التوصيات
تحديث EspoCRM إلى الإصدار 10.0.7 أو أحدث.
استغلال
إصلاح
Information Disclosure
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Espocrm