CVE-2024-47210

Versões do Gladys Assistant anteriores à 4.45.1

A vulnerabilidade permite que um usuário altere sua própria função, resultando em escalonamento de privilégios. Isso é possível porque o req.body.role pode ser usado na função updateMySelf em server/api/controllers/user.controller.js.

Para versões anteriores à 4.45.1, atualize para a versão 4.45.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função updateMySelf em server/api/controllers/user.controller.js para impedir a exploração. Além disso, evite usar a variável req.body.role no endpoint da API afetado até que o problema seja resolvido.