CVE-2022-1397

Versões do easyappointments anteriores à 1.5.0

O problema diz respeito a uma escalação de privilégios na API do repositório GitHub do easyappointments. Ela permite que um usuário com privilégios limitados, como um provedor, crie um novo usuário administrador por meio do endpoint “/api/v1/admins/”, o que pode levar à tomada de controle total do sistema. Isso ocorre porque a autorização da API verifica a existência do usuário sem validar suas permissões.

Para versões anteriores à 1.5.0, atualize para a versão 1.5.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “/api/v1/admins/” para impedir a criação não autorizada de usuários administradores. Além disso, revise as permissões dos usuários e valide-as adequadamente para evitar a escalada de privilégios.