CVE-2022-30361

OvalEdge versões 5.2.8.0 e anteriores

A vulnerabilidade permite a exposição de dados confidenciais por meio de uma solicitação GET ao endpoint da API “/user/getUserType”, que não requer autenticação. Isso expõe informações relacionadas ao usuário registrado, incluindo user id, status, email address, role, user type, license type e detalhes pessoais, como first name, last name, gender e user preferences.

Para as versões 5.2.8.0 e anteriores do OvalEdge, como solução temporária, considere restringir o acesso ao endpoint da API “/user/getUserType” para minimizar o risco de exploração. Evite usar esse endpoint até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.