CVE-2019-18981

Pimcore: brak odmowy dostępu przy nieprawidłowym ID odbiorcy powiadomień

CVSS 9.8v3.1pub. 2019-11-15upd. 2024-11-21

Wersje Pimcore przed 6.2.2 nie zwracają odpowiedzi 'Access Denied' w określonym scenariuszu, gdy podany zostanie nieprawidłowy identyfikator odbiorcy powiadomienia. Podatność otrzymała ocenę krytyczną CVSS 9.8, co wskazuje na potencjalnie poważne konsekwencje dla poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

Pimcore before 6.2.2 lacks an Access Denied outcome for a certain scenario of an incorrect recipient ID of a notification.

🤖 Analiza AI

Jak działa

Aplikacja Pimcore nie weryfikuje poprawnie uprawnień dostępu w sytuacji, gdy żądanie zawiera błędny lub manipulowany identyfikator odbiorcy powiadomienia. Zamiast odrzucić takie żądanie odpowiedzią 'Access Denied', system przetwarza je w sposób nieautoryzowany. Oznacza to błąd w logice kontroli dostępu (CWE-838), pozwalający atakującemu na wykonanie operacji bez odpowiednich uprawnień.

Skutki

Atakujący bez uwierzytelnienia i bez żadnej interakcji użytkownika może uzyskać nieautoryzowany dostęp do zasobów systemu, potencjalnie naruszając poufność, integralność i dostępność danych zarządzanych przez Pimcore.

Mitygacja

Należy zaktualizować Pimcore do wersji 6.2.2 lub nowszej. Poprawka dostępna jest w repozytorium projektu (commit 0a5d80b2593b2ebe35d19756b730ba33aa049106, zmiany między v6.2.1 a v6.2.2).