CVE-2022-1715

Podatność polega na możliwości przejęcia konta użytkownika (Account Takeover) przez nieuwierzytelnionego atakującego zdalnie, bez wymagania jakiejkolwiek interakcji ze strony ofiary. Wektor ataku jest sieciowy, a złożoność ataku niska, co oznacza, że exploit może być przeprowadzony stosunkowo łatwo. Szczegółowy mechanizm techniczny nie został opisany w dostępnych danych, jednak commit naprawczy dostępny w repozytorium GitHub wskazuje na konkretną zmianę kodu eliminującą tę podatność.

Atakujący może przejąć kontrolę nad dowolnym kontem użytkownika w aplikacji, uzyskując pełny nieautoryzowany dostęp do danych finansowych i operacyjnych przetwarzanych przez system Facturascripts. Skutkuje to utratą poufności, integralności oraz potencjalnie dostępności danych.

Należy zaktualizować Facturascripts do wersji 2022.07 lub nowszej, w której podatność została usunięta. Patch dostępny jest w repozytorium GitHub producenta pod wskazanym commitem (714bebf4c35e3eedda138f5ee912a8031bc8b1ab). Do czasu aktualizacji zaleca się ograniczenie dostępu do aplikacji wyłącznie do zaufanych sieci oraz monitorowanie logów uwierzytelnienia pod kątem podejrzanej aktywności.

Facturascripts (neorazorx/facturascripts) w wersjach wcześniejszych niż 2022.07

Podatność została zgłoszona za pośrednictwem platformy huntr.dev (program bug bounty). Naprawa wprowadzona commitem 714bebf4c35e3eedda138f5ee912a8031bc8b1ab w repozytorium GitHub neorazorx/facturascripts.