CVE-2025-64062
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Primakon Pi Portal 1.0.18 endpoint /api/V2/pp_users?email służy do filtrowania danych użytkowników, ale nie ma poprawnej walidacji po stronie serwera względem uwierzytelnionej sesji. Manipulując parametrem email (np. na inny adres), atakujący może przejąć sesję i uzyskać pełny dostęp do danych i uprawnień docelowego użytkownika; pozostawienie parametru pustego powoduje domyślne przypisanie do pierwszego użytkownika (zwykle administratora), co prowadzi do eskalacji uprawnień do najwyższego poziomu.
Ocena ryzyka
Atakujący może przejąć konto innego użytkownika lub uzyskać uprawnienia administratora, co stanowi poważne naruszenie poufności i kontroli dostępu.
Rekomendacja
Wdróż poprawkę walidującą parametr email względem uwierzytelnionej sesji po stronie serwera oraz ogranicz dostęp do endpointu do czasu aktualizacji.
Inne podatności w Primakon Pi Portal
Zobacz wszystkie- CVE-2025-64063Krytyczne
W Primakon Pi Portal 1.0.18 endpointy API nie egzekwują wystarczających kontroli autoryzacji. Standardowy użytkownik może wysyłać bezpośrednie żądania HTTP do endpointów administracyjnych, omijając ograniczenia UI, co pozwala na nieautoryzowaną modyfikację kont, dostęp do poufnych dokumentów i eskalację uprawnień.
- CVE-2025-64067Średnie
Endpointy API w Primakon Pi Portal 1.0.18 odpowiedzialne za pobieranie danych obiektów lub filtrowanych zbiorów nie weryfikują wystarczająco po stronie serwera, czy użytkownik ma uprawnienia do żądanego obiektu. Podatność można wykorzystać poprzez manipulację identyfikatorem (IDOR) lub pominięcie parametru filtrującego, co prowadzi do nieautoryzowanego ujawnienia danych osobowych i organizacyjnych.
- CVE-2025-64065Wysokie
Primakon Pi Portal 1.0.18 w endpoincie API /api/V2/pp_udfv_admin nie przeprowadza niezbędnej walidacji po stronie serwera. Funkcja LoginAs (podszywanie się pod użytkownika) jest podatna na błąd kontroli dostępu, pozwalając niskouprzywilejowanemu użytkownikowi na podszycie się pod dowolnego użytkownika, w tym administratora.
- CVE-2025-64064Wysokie
Primakon Pi Portal 1.0.18 w endpoincie /api/v2/pp_users nie sprawdza wystarczająco uprawnień użytkownika przed przetworzeniem żądania PATCH modyfikującego PP_SECURITY_PROFILE_ID. Z powodu słabych kontroli dostępu każdy niskouprzywilejowany użytkownik może zmienić swoje uprawnienia na administratora, ustawiając PP_SECURITY_PROFILE_ID=2.
- CVE-2025-64066Wysokie
Endpoint REST /api/v2/user/register w Primakon Pi Portal 1.0.18 jest podatny na złamanie kontroli dostępu. Endpoint nie implementuje żadnych kontroli autoryzacji, umożliwiając nieuwierzytelnionym atakującym wysyłanie żądań POST w celu rejestracji nowych kont użytkowników w lokalnej bazie danych aplikacji, co omija zamierzoną architekturę bezpieczeństwa opartą na zewnętrznym dostawcy tożsamości. Wektor ten można łączyć z innymi podatnościami w celu eskalacji uprawnień i pełnego przejęcia aplikacji, a żądanie może służyć do enumeracji już zarejestrowanych kont.
- CVE-2025-64061Średnie
Punkt końcowy /api/v2/users w Primakon Pi Portal 1.0.18 jest podatny na nieautoryzowane ujawnienie danych z powodu niewystarczających mechanizmów kontroli dostępu. Każdy uwierzytelniony użytkownik, niezależnie od poziomu uprawnień, może pobrać pełną listę wszystkich zarejestrowanych użytkowników, w tym hasła w postaci skrótów.
Oryginalny opis (angielski, źródło NVD)
The Primakon Pi Portal 1.0.18 /api/V2/pp_users?email endpoint is used for user data filtering but lacks proper server-side validation against the authenticated session. By manipulating the email parameter to an arbitrary value (e.g., [email protected]), an attacker can assume the session and gain full access to the target user's data and privileges. Also, if the email parameter is left blank, the application defaults to the first user in the list, who is typically the application administrator, resulting in an immediate Privilege Escalation to the highest level.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS