Interfejs webowy Evolution Controller w wersjach 2.04.560.31.03.2024 i wcześniejszych zawiera błędnie skonfigurowaną kontrolę dostępu. Niezalogowany atakujący może dodawać i modyfikować profile użytkowników, uzyskując pełną kontrolę nad aplikacją.
▸ Pokaż oryginał (EN)
The Web interface of Evolution Controller Versions 2.04.560.31.03.2024 and below contains poorly configured access control, allowing for an unauthenticated attacker to update and add user profiles within the application, and gain full access of the site.
Aplikacja webowa Evolution Controller nie wymaga uwierzytelnienia do wykonywania operacji na profilach użytkowników. Błędna konfiguracja mechanizmu kontroli dostępu (CWE-284) pozwala nieuwierzytelnionemu atakującemu na wysyłanie żądań do endpointów zarządzania użytkownikami. W efekcie atakujący może tworzyć nowe konta lub modyfikować istniejące profile, a następnie zalogować się z pełnymi uprawnieniami.
Atakujący bez żadnego uwierzytelnienia może uzyskać pełny dostęp do aplikacji Evolution Controller, w tym do zarządzania użytkownikami i wszystkimi funkcjami systemu. Skutkuje to całkowitym naruszeniem poufności, integralności i dostępności aplikacji.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecane jest również ograniczenie dostępu do interfejsu webowego Evolution Controller wyłącznie do zaufanych sieci lub adresów IP na poziomie firewall do czasu wdrożenia aktualizacji.
Cs-Technologies Evolution Controller w wersji 2.04.560.31.03.2024 i wcześniejszych.
Podatność została opublikowana przez australijską firmę Direct Cyber w ramach zbiorczego raportu obejmującego CVE-2024-29836 do CVE-2024-29844, dotyczącego wielu podatności w Evolution Controller.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HCs Technologies Evolution
APPCs-Technologies≤ 2.04.560
Powiązane podatności
Domyślne dane logowania w Evolution Controller 2.x umożliwiają pełen dostęp administracyjny
The Web interface of Evolution Controller Versions 2.04.560.31.03.2024 and below does not proper sanitize user...
The Web interface of Evolution Controller Versions 2.04.560.31.03.2024 and below contains poorly configured ac...
The Web interface of Evolution Controller Versions 2.04.560.31.03.2024 and below contains poorly configured ac...
The Web interface of Evolution Controller Versions 2.04.560.31.03.2024 and below uses poor session management,...