CVE-2025-64061

W Primakon Pi Portal 1.0.18 endpointy API nie egzekwują wystarczających kontroli autoryzacji. Standardowy użytkownik może wysyłać bezpośrednie żądania HTTP do endpointów administracyjnych, omijając ograniczenia UI, co pozwala na nieautoryzowaną modyfikację kont, dostęp do poufnych dokumentów i eskalację uprawnień.

Endpointy API w Primakon Pi Portal 1.0.18 odpowiedzialne za pobieranie danych obiektów lub filtrowanych zbiorów nie weryfikują wystarczająco po stronie serwera, czy użytkownik ma uprawnienia do żądanego obiektu. Podatność można wykorzystać poprzez manipulację identyfikatorem (IDOR) lub pominięcie parametru filtrującego, co prowadzi do nieautoryzowanego ujawnienia danych osobowych i organizacyjnych.

Primakon Pi Portal 1.0.18 w endpoincie API /api/V2/pp_udfv_admin nie przeprowadza niezbędnej walidacji po stronie serwera. Funkcja LoginAs (podszywanie się pod użytkownika) jest podatna na błąd kontroli dostępu, pozwalając niskouprzywilejowanemu użytkownikowi na podszycie się pod dowolnego użytkownika, w tym administratora.

Primakon Pi Portal 1.0.18 w endpoincie /api/v2/pp_users nie sprawdza wystarczająco uprawnień użytkownika przed przetworzeniem żądania PATCH modyfikującego PP_SECURITY_PROFILE_ID. Z powodu słabych kontroli dostępu każdy niskouprzywilejowany użytkownik może zmienić swoje uprawnienia na administratora, ustawiając PP_SECURITY_PROFILE_ID=2.

Endpoint REST /api/v2/user/register w Primakon Pi Portal 1.0.18 jest podatny na złamanie kontroli dostępu. Endpoint nie implementuje żadnych kontroli autoryzacji, umożliwiając nieuwierzytelnionym atakującym wysyłanie żądań POST w celu rejestracji nowych kont użytkowników w lokalnej bazie danych aplikacji, co omija zamierzoną architekturę bezpieczeństwa opartą na zewnętrznym dostawcy tożsamości. Wektor ten można łączyć z innymi podatnościami w celu eskalacji uprawnień i pełnego przejęcia aplikacji, a żądanie może służyć do enumeracji już zarejestrowanych kont.

W Primakon Pi Portal 1.0.18 endpoint /api/V2/pp_users?email służy do filtrowania danych użytkowników, ale nie ma poprawnej walidacji po stronie serwera względem uwierzytelnionej sesji. Manipulując parametrem email (np. na inny adres), atakujący może przejąć sesję i uzyskać pełny dostęp do danych i uprawnień docelowego użytkownika; pozostawienie parametru pustego powoduje domyślne przypisanie do pierwszego użytkownika (zwykle administratora), co prowadzi do eskalacji uprawnień do najwyższego poziomu.