CVE-2024-3164

dotCMS versão 22.02

O problema diz respeito ao painel do dotCMS, especificamente às guias “Ferramentas” e “Arquivos de log” em Sistema → Portlet de manutenção. Este portlet, destinado ao acesso de administradores, está acessível a qualquer pessoa que tenha o portlet, não apenas aos administradores do CMS. Como resultado, usuários com funções de administrador do site, mas não de administrador do sistema, podem acessar informações confidenciais, incluindo nomes de usuário e senhas do banco de dados em Arquivos de Log, e baixar dumps do banco de dados e outros conteúdos do dotCMS em Ferramentas. Apenas administradores do sistema devem ter acesso à Manutenção do Sistema. Este problema está relacionado a falhas no controle de acesso e a um design inseguro.

Atualize o dotCMS para uma versão que inclua a correção para este problema.

Restrinja o acesso ao Portlet de Manutenção apenas aos administradores de sistema.

Como solução temporária, considere desativar o acesso às guias Ferramentas e Arquivos de Log em Sistema → Portlet de Manutenção para usuários com funções de administrador do site até que um patch esteja disponível.