PT-2026-109311 · Civiform · Civiform
CVE-2026-107856
·
Publicado
2026-10-09
·
Atualizado
2026-10-13
CVSS v3.1
4.5
Média
| Vetor | AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
CiviForm versões anteriores a 3.33.0
Description
Um Intermediário Confiável autenticado pode enumerar valores de
accountId para ler nomes de exibição de requerentes, incluindo nomes e endereços de e-mail, de contas que não pertencem ao seu grupo atribuído. Isso ocorre porque o endpoint "/admin/tiDash/editClientForm/:accountId" verifica o status do requerente como um Intermediário Confiável, mas a função showEditClientForm() executa um lookupAccount(accountId) sem confirmar se a conta do cidadão faz parte do trustedIntermediaryGroup do requerente.Recommendations
Atualizar para a versão 3.33.0.
Exploit
Correção
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Civiform