CVE-2025-40668

Nome do Software Vulnerável e Versões Afetadas GIM versão 11 da TCMAN

Descrição O problema está relacionado a uma vulnerabilidade de autorização incorreta. Esta vulnerabilidade permite que um atacante com baixo nível de privilégio altere a senha de outros usuários por meio de uma requisição POST usando os parâmetros idUser, PasswordActual, PasswordNew e PasswordNewRepeat no endpoint da API "/PC/WebService.aspx/validateChangePasswordña". Para explorar a vulnerabilidade, o parâmetro PasswordActual deve estar vazio.

Recomendações Para o GIM versão 11 da TCMAN, como solução temporária, considere restringir o acesso ao endpoint da API "/PC/WebService.aspx/validateChangePasswordña" para minimizar o risco de exploração. Evite usar o parâmetro PasswordActual neste endpoint até que o problema seja resolvido. Além disso, restrinja o uso dos parâmetros idUser, PasswordNew e PasswordNewRepeat neste contexto para prevenir alterações de senha não autorizadas.