PT-2022-16293 · Saviynt · Saviynt Enterprise Identity Cloud
CVE-2022-23855
·
Publicado
2022-01-24
·
Atualizado
2023-08-08
CVSS v2.0
7.5
Alta
| Vetor | AV:N/AC:L/Au:N/C:P/I:P/A:P |
Nome do software vulnerável e versões afetadas
Saviynt Enterprise Identity Cloud (EIC) versão 5.5 SP2.x
Descrição
Foi identificada uma falha que permite a contornar a autenticação. Especificamente, o endpoint
/ECM/maintenance/forgotpasswordstep1 está vulnerável, permitindo que um usuário não autenticado redefina senhas e faça login como qualquer conta local.Recomendações
Para a versão 5.5 SP2.x, considere restringir o acesso ao endpoint
/ECM/maintenance/forgotpasswordstep1 até que um patch esteja disponível. Como solução temporária, desativar a funcionalidade de redefinição de senha para contas locais pode ajudar a minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Saviynt Enterprise Identity Cloud