CVE-2024-57602

EasyAppointments v.1.5.0 — privilege escalation przez index.php

CVSS 9.8v3.1pub. 2025-02-12upd. 2025-03-18

Podatność w aplikacji Alex Tselegidis EasyAppointments w wersji 1.5.0 umożliwia zdalnemu atakującemu eskalację uprawnień (privilege escalation) bez konieczności uwierzytelnienia. Ocena CVSS 9.8 (CRITICAL) wskazuje na bardzo wysokie ryzyko przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

An issue in Alex Tselegidis EasyAppointments v.1.5.0 allows a remote attacker to escalate privileges via the index.php file.

🤖 Analiza AI

Jak działa

Problem dotyczy pliku index.php, przez który możliwa jest nieautoryzowana eskalacja uprawnień (CWE-269 — improper privilege management). Atakujący może zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, wywołać odpowiednie żądanie do aplikacji i uzyskać wyższy poziom dostępu niż powinien posiadać. Szczegółowy mechanizm techniczny nie został ujawniony w dostępnym opisie.

Skutki

Atakujący może uzyskać podwyższone uprawnienia w aplikacji EasyAppointments, co może prowadzić do pełnego przejęcia systemu, ujawnienia danych, ich modyfikacji lub niedostępności usługi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację do najnowszej dostępnej wersji EasyAppointments oraz ograniczenie dostępu do aplikacji wyłącznie do zaufanych sieci lub użytkowników do czasu wdrożenia poprawki.

Kogo dotyczy

Alex Tselegidis EasyAppointments v.1.5.0

Uwagi

Podatność została zgłoszona i opisana pod adresem https://hkohi.ca/vulnerability/12. Brak dodatkowych informacji o dostępnym publicznym exploicie lub aktywnym wykorzystaniu.