PT-2020-12761
CVE-2020-11671
·
Publicado
2020-05-04
·
Atualizado
2021-07-26
Descrição por
CVSS 3.1
8.1
AltaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Nome do software vulnerável e versões afetadas
TeamPass versões 2.1.27.36 e anteriores
Descrição
O problema está relacionado à falta de controles de autorização nas funções da API REST. Isso permite que qualquer usuário do TeamPass com um token de API válido se torne um administrador do TeamPass e leia ou modifique todas as senhas por meio de chamadas autenticadas da API REST “api/index.php”. Observa-se que a API não está disponível por padrão.
Recomendações
Para as versões 2.1.27.36 e anteriores do TeamPass, considere desativar a API REST até que uma correção esteja disponível para evitar a exploração. Restrinja o acesso ao endpoint “api/index.php” para minimizar o risco de acesso não autorizado a senhas. Evite usar a API com tokens válidos até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾