CVE-2024-34320
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W ProPhoenix Law RMS w wersji 2022.2403.3.101 wykryto problem nieprawidłowej kontroli dostępu w wrażliwych punktach końcowych API.
Ocena ryzyka
Atakujący może uzyskać dostęp do chronionych funkcji lub danych API bez odpowiednich uprawnień, co może prowadzić do naruszenia poufności lub integralności systemu.
Rekomendacja
Zaktualizuj ProPhoenix Law RMS do wersji z poprawką lub skontaktuj się z dostawcą; zweryfikuj i wzmocnij mechanizmy autoryzacji w punktach końcowych API.
Inne podatności w ProPhoenix Law RMS
Zobacz wszystkie- CVE-2024-34324Krytyczne
W ProPhoenix Law RMS w wersji 2022.2403.3.101 występuje luka umożliwiająca atakującemu przeprowadzenie ataku przejęcia sesji poprzez wstrzyknięcie specjalnie spreparowanego 24-znakowego ciągu do ciasteczka ASP.NET_SessionId.
- CVE-2024-34323Krytyczne
W ProPhoenix Law RMS w wersji 2022.2403.3.101 wykryto podatność typu Insecure Direct Object Reference (IDOR) poprzez parametr usrLogin$hdnPFID. Luka pozwala atakującemu na dostęp do poufnych informacji za pomocą spreparowanego żądania HTTP.
- CVE-2024-34326Średnie
Podatność w ProPhoenix Law RMS w wersji v2022.2403.3.101 to odbity XSS (cross-site scripting) przez parametry PageTitle/Alert/MsgType w punkcie końcowym errorHandler.aspx.
- CVE-2024-34321Średnie
W ProPhoenix Law RMS w wersji 2022.2403.3.101 wykryto podatność typu reflected cross-site scripting (XSS) poprzez parametr PageTitle/Notes w punkcie końcowym Notes.aspx.
- CVE-2024-34319Średnie
W ProPhoenix Law RMS v2022.2403.3.101 występuje podatność Server-Side Request Forgery (SSRF) w parametrze serviceURL. Atakujący może zmusić serwer aplikacji do wykonania niezamierzonych żądań DNS i HTTP poprzez spreparowane żądanie HTTP.
Oryginalny opis (angielski, źródło NVD)
ProPhoenix Law RMS v2022.2403.3.101 was discovered to contain an incorrect access control issue in sensitive API endpoints.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS