CVE-2016-10734

ProjectSend r582 — Insecure Direct Object Reference w eksporcie logów

CVSS 9.8v3.0pub. 2018-10-29upd. 2024-11-21

ProjectSend w wersji r582 zawiera podatność typu Insecure Direct Object Reference (IDOR) w pliku includes/actions.log.export.php. Umożliwia ona nieautoryzowanym użytkownikom bezpośredni dostęp do obiektów systemowych bez weryfikacji uprawnień, co może prowadzić do poważnego naruszenia poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

ProjectSend (formerly cFTP) r582 allows Insecure Direct Object Reference via includes/actions.log.export.php.

🤖 Analiza AI

Jak działa

Podatność polega na braku właściwej kontroli dostępu (CWE-285) w skrypcie odpowiedzialnym za eksport logów. Atakujący zdalnie, bez uwierzytelnienia, może bezpośrednio odwoływać się do wewnętrznych obiektów systemu poprzez manipulację parametrami żądania HTTP kierowanego do pliku includes/actions.log.export.php. Serwer nie weryfikuje tożsamości ani uprawnień żądającego, co skutkuje nieautoryzowanym dostępem do chronionych zasobów.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych logów systemowych oraz potencjalnie wpłynąć na integralność i dostępność aplikacji — wysoki scoring CVSS (9.8) wskazuje na pełne zagrożenie poufności, integralności oraz dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację ProjectSend do wersji wydanej po r582 oraz ograniczenie dostępu do katalogu includes/ na poziomie konfiguracji serwera WWW (np. reguły .htaccess lub konfiguracja Nginx blokująca bezpośredni dostęp do plików includes/).