PT-2022-18225

CVE-2022-27108

·

Publicado

2022-04-06

·

Atualizado

2022-04-13

Descrição por

CVSS 3.1
4.3
Média
MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Nome do software vulnerável e versões afetadas
OrangeHRM versão 4.10
Descrição
A vulnerabilidade permite que qualquer usuário crie uma planilha de horas na conta de outro usuário devido a uma referência direta a objeto insegura (IDOR) através do endpoint “symfony/web/index.php/time/createTimesheet”.
Recomendações
Para a versão 4.10 do OrangeHRM, como solução temporária, considere restringir o acesso ao endpoint “symfony/web/index.php/time/createTimesheet” para impedir a criação não autorizada de planilhas de horas.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-639: Authorization Bypass Through User-Controlled Key
Identificadores relacionados
CVE-2022-27108
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com