CVE-2020-36902

Nome do Software Vulnerável e Versões Afetadas UBICOD Medivision Digital Signage versão 1.5.1

Descrição Existe uma falha no UBICOD Medivision Digital Signage que permite que usuários comuns obtenham privilégios elevados. Isso é alcançado mediante a manipulação do parâmetro ft[grp]. Especificamente, o envio de uma requisição GET para o endpoint da API '/html/user' com o parâmetro ft[grp] definido com o valor inteiro '3' permite que atacantes obtenham direitos de super administrador sem autenticação.

Recomendações Aplique quaisquer atualizações disponíveis para corrigir o problema de bypass de autorização. Como solução temporária, restrinja o acesso ao endpoint da API '/html/user'. Evite utilizar o parâmetro ft[grp] com o valor '3'.