PT-2026-81240 · Unknown · Telephone Directory
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Telephone Directory (versões afetadas não especificadas)
Descrição
Existe um controle de acesso quebrado na extensão onde o HMAC (Hash-based Message Authentication Code, um mecanismo para verificar a integridade e autenticidade dos dados) de um link de edição de funcionário no frontend é validado apenas ao renderizar o formulário de edição, mas não ao persistir as alterações. Um visitante não autenticado que conheça o UID de um registro de funcionário visível pode enviar uma requisição POST direta para a ação de atualização para sobrescrever esse registro sem um link de edição válido ou verificação de propriedade.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Missing Authorization
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Telephone Directory