CVE-2021-45785

TruDesk Help Desk/Ticketing Solution versão 1.1.11

A vulnerabilidade permite que um invasor execute um ataque de falsificação de solicitação entre sites (CSRF), possibilitando-lhe reiniciar o servidor e causar um ataque de negação de serviço (DoS). Para explorar essa vulnerabilidade, o invasor deve criar uma página da web que envie uma solicitação GET para o endpoint “/api/v1/admin/restart”. A vítima, que deve ter privilégios suficientes, acessaria essa página da web, acionando a reinicialização do servidor. O invasor precisa saber a URL completa da instância do TruDesk para criar a página da web maliciosa.

Para a versão 1.1.11 da solução de help desk/tickets TruDesk, como solução alternativa temporária, considere restringir o acesso ao endpoint “/api/v1/admin/restart” até que um patch esteja disponível. Além disso, limitar a capacidade dos usuários de reiniciar o servidor com base em seus privilégios pode ajudar a minimizar o risco de exploração.