CVE-2018-1000141

I, Librarian – nieprawidłowa kontrola dostępu do dyskusji projektowych

CVSS 9.1v3.1pub. 2018-03-23upd. 2025-12-05

I, Librarian w wersji 4.9 i wcześniejszych zawiera podatność nieprawidłowej kontroli dostępu w pliku ajaxdiscussion.php. Umożliwia ona dowolnemu użytkownikowi nieautoryzowany dostęp do dyskusji projektowych — odczyt, zapis i usuwanie wpisów.

▸ Pokaż oryginał (EN)

I, Librarian version 4.9 and earlier contains an Incorrect Access Control vulnerability in ajaxdiscussion.php that can result in any users gaining unauthorized access (read, write and delete) to project discussions.

🤖 Analiza AI

Jak działa

Plik ajaxdiscussion.php nie weryfikuje prawidłowo uprawnień użytkownika przed wykonaniem operacji na dyskusjach projektowych. Brak odpowiednich mechanizmów kontroli dostępu (CWE-269 — nieprawidłowe zarządzanie uprawnieniami) powoduje, że każdy zalogowany lub potencjalnie niezalogowany użytkownik może wykonywać operacje zastrzeżone dla uprawnionych uczestników projektu. Atakujący może wysyłać odpowiednio spreparowane żądania do tego endpointu bez konieczności posiadania stosownych uprawnień.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do dyskusji projektowych — może odczytywać poufne treści, modyfikować lub usuwać wpisy innych użytkowników, co zagraża integralności i poufności danych w systemie.

Mitygacja

Należy zaktualizować I, Librarian do wersji wyższej niż 4.9. Szczegóły poprawki dostępne są w referencjach producenta pod adresem https://github.com/mkucej/i-librarian/issues/124