CVE-2022-38577

WysokieCVSS 8.8

Opublikowano: 19/09/2022(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.45%

Percentyl 70 - wyżej niż 70% wszystkich znanych CVE

Streszczenie

W systemie ProcessMaker przed wersją 3.5.4 wykryto niebezpieczne uprawnienia na stronie profilu użytkownika. Luka ta umożliwia atakującym eskalację zwykłych użytkowników do roli administratora.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego przejęcia pełnej kontroli nad systemem przez zwykłego użytkownika, co może prowadzić do naruszenia poufności, integralności i dostępności danych.

Rekomendacja

Należy niezwłocznie zaktualizować ProcessMaker do wersji 3.5.4 lub nowszej, która zawiera poprawkę usuwającą tę podatność.

Inne podatności w ProcessMaker

CVE-2026-107803Średnie
ProcessMaker przed wersją 2026.14.3 jest podatny na wstrzyknięcie SQL w punkcie końcowym `GET /api/1.0/tasks` przez parametr `order_by`. Metoda `applyColumnOrdering()` łączy kontrolowaną przez użytkownika nazwę kolumny `process_requests` w podzapytanie SQL bez walidacji lub wiązania parametrów. Każdy uwierzytelniony użytkownik może użyć ślepych zapytań czasowych do wyodrębnienia danych dostępnych dla konta bazy danych ProcessMaker.

Oryginalny opis (angielski, źródło NVD)

ProcessMaker before v3.5.4 was discovered to contain insecure permissions in the user profile page. This vulnerability allows attackers to escalate normal users to Administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS