PT-2020-13136
CVE-2020-12477
·
Publicado
2020-04-29
·
Atualizado
2021-07-26
Descrição por
CVSS 3.1
7.5
AltaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
TeamPass versão 2.1.27.36
Descrição
A vulnerabilidade permite que qualquer usuário com um token de API válido contorne as restrições da lista de endereços IP autorizados. Isso é feito por meio do cabeçalho HTTP do cliente
X-Forwarded-For na função getIp.Recomendações
Para a versão 2.1.27.36 do TeamPass, considere restringir o acesso à função
getIp até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o cabeçalho HTTP do cliente X-Forwarded-For nas funções da API REST para minimizar o risco de exploração.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾