PT-2022-16312

CVE-2022-23887

·

Publicado

2022-01-28

·

Atualizado

2022-02-02

Descrição por

CVSS 3.1
6.5
Média
MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
Nome do software vulnerável e versões afetadas
YzmCMS versão 6.3
Descrição
Uma vulnerabilidade do tipo Cross-Site Request Forgery (CSRF) permite que invasores excluam arbitrariamente contas de usuário por meio do endpoint da API /admin/admin manage/delete. Isso possibilita modificações não autorizadas nas contas de usuário.
Recomendações
Para o YzmCMS versão 6.3, como solução temporária, considere restringir o acesso ao endpoint da API /admin/admin manage/delete até que uma correção esteja disponível. Evite usar esse endpoint para gerenciamento de contas de usuário até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-352: Cross-Site Request Forgery (CSRF)
Identificadores relacionados
CVE-2022-23887
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com