PT-2020-12867
CVE-2020-11818
·
Publicado
2020-04-16
·
Atualizado
2020-04-22
Descrição por
CVSS 3.1
8.8
AltaMétricasAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Rukovoditel versão 2.5.2
Descrição
O mecanismo de proteção implementado para impedir ataques CSRF pode ser contornado por um invasor utilizando o valor válido de
form session token de outro usuário. Isso permite que o invasor execute um ataque CSRF, podendo alterar a senha de administrador e ampliar seus privilégios.Recomendações
Para o Rukovoditel versão 2.5.2, considere desativar temporariamente a possibilidade de alterar a senha de administrador por meio do formulário até que uma correção esteja disponível, ou restrinja o acesso ao formulário para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾