Podatności Combodo iTop

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelnieni użytkownicy mogli usunąć plik .readonly na instancjach iTop, co prowadziło do wykonania kodu. Ten plik, tworzony podczas procesu instalacji, uniemożliwia użytkownikom wykonywanie operacji zapisu.

W Combodo iTop w wersjach od 3.1.0 do 3.3.0 wykryto brak autoryzacji w LinkSetController.php, który pozwala uwierzytelnionym użytkownikom konsoli na ominięcie ograniczeń profili poprzez podanie dowolnych parametrów klasy i klucza. Atakujący mogą wywołać trasy usuwania, odłączania i pobierania obiektów, aby usuwać obiekty, czyścić klucze zewnętrzne i odczytywać atrybuty obiektów bez uprawnień.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na wstrzykiwanie obiektów PHP w funkcji preferencji użytkownika, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 3.2.3.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop jest podatny na odzwierciedlone ataki XSS w funkcji przywracania pulpitu nawigacyjnego. Problem został naprawiony w wersji 3.2.3.

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3 nieuwierzytelniony użytkownik mógł usunąć plik .readonly na instancjach iTop — plik tworzony podczas procesu instalacji, który uniemożliwia użytkownikom wykonywanie operacji zapisu. Problem został naprawiony w wersji 3.2.3.

Combodo iTop przed wersją 3.2.3 chroni tylko klasy obecne w klauzuli SELECT przed sprawdzeniem dostępu silos w OQL. Problem naprawiono w wersji 3.2.3.

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, nieprawidłowa kontrola dostępu w ajax.render.php i ajax.document.php umożliwia dostęp do dokumentów bez sprawdzania uprawnień użytkownika. Problem został naprawiony w wersji 3.2.3.

Combodo iTop przed wersją 3.2.3 ma podatność pozwalającą na ominięcie uwierzytelniania. Niezalogowany zdalny atakujący może wykonać dowolne pliki PHP z katalogu env-production na nowej instancji iTop w środowisku produkcyjnym.

Combodo iTop, narzędzie do zarządzania usługami IT oparte na sieci Web, przed wersją 3.2.3 zawiera podatność polegającą na ujawnianiu wrażliwych informacji w komunikatach o błędach. Problem został naprawiony w wersji 3.2.3.

Combodo iTop przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w API kryteriów wyszukiwania kluczy obcych. Atakujący może wstrzyknąć złośliwy skrypt do parametrów zapytania.

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, obiekt może być zablokowany przez użytkownika, który nie ma przypisanych uprawnień do zapisu. Problem został naprawiony w wersji 3.2.3.

Combodo iTop przed wersją 3.2.3 umożliwia użytkownikom dostęp do nieautoryzowanych informacji o obiektach poprzez operację wyszukiwania. Użytkownik może odczytać dane, do których nie ma uprawnień.

Combodo iTop, internetowe narzędzie do zarządzania usługami IT, przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w wyszukiwaniu uniwersalnym. Problem został naprawiony w wersji 3.2.3.

Combodo iTop, internetowe narzędzie do zarządzania usługami IT, przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w pliku pages/tagadmin.php. Problem został naprawiony w wersji 3.2.3.

Combodo iTop, internetowe narzędzie do zarządzania usługami IT, przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w skrypcie importu synchronizacji. Problem został naprawiony w wersji 3.2.3.

Combodo iTop, internetowe narzędzie do zarządzania usługami IT, przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w funkcji zapisywania pulpitu nawigacyjnego. Problem został naprawiony w wersji 3.2.3.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 występuje podatność na odbity Cross-Site Scripting (XSS) w funkcji testowania zapytań OQL. Problem został naprawiony w wersji 3.2.3.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 nieuwierzytelnieni użytkownicy mogą uzyskać dostęp do przesłanych wrażliwych danych za pomocą podsłuchanego adresu URL. Problem naprawiono w wersji 3.2.3.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop ma odbitą podatność Cross-Site Scripting (XSS) w funkcji przywracania pulpitu nawigacyjnego z parametrem dashboard_id w /pages/ajax.render.php. Problem naprawiono w wersji 3.2.3.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 obrazy inline, które są dostępne bez uwierzytelnienia, są chronione słabym 24-bitowym pseudolosowym sekretem. Problem naprawiono w wersji 3.2.3.

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Przed wersją 3.2.3, atrybut tytułu HTML logo na stronie logowania zawiera pełną wersję iTop. Ten problem został naprawiony w wersji 3.2.3.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na sieci Web. Przed wersją 3.2.3 iTop zwraca różne odpowiedzi dla prawidłowych/nieprawidłowych nazw użytkowników w zależności od wielu czynników w mechanizmie resetowania hasła, co prowadzi do enumeracji użytkowników. Problem naprawiono w wersji 3.2.3.

Combodo iTop to narzędzie do zarządzania usługami IT oparte na przeglądarce. W wersjach z gałęzi 3.x przed 3.2.2 niebezpieczne odwołanie do obiektu (IDOR) pozwala użytkownikowi, np. z profilem agenta Service desk, utworzyć obiekt ModuleInstallation, mimo że nie powinien mieć do tego uprawnień. Wersja 3.2.2 naprawia ten problem.

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Wersje przed 2.7.13 i 3.2.2 są podatne na ataki XSS, gdy pole z błędem zawiera złośliwą treść. Wersje 2.7.13 i 3.2.2 chronią renderowaną treść HTML.

Combodo iTop to webowe narzędzie do zarządzania usługami IT. W wersjach przed 3.2.2, podczas wyświetlania treści w przeglądarce w portalu użytkownika, może wystąpić atak typu cross-site scripting. Problem został naprawiony w wersjach 3.2.2 i 3.3.0.

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Wersje przed 2.7.13 i 3.2.2 są podatne na ataki XSS, gdy dashboard jest renderowany przez wywołanie AJAX. Wersje 2.7.13 i 3.2.2 sanityzują zmienną odpowiedzialną za atak.

Combodo iTop to internetowe narzędzie do zarządzania usługami IT. Wersje przed 2.7.13 i 3.2.2 są podatne na ataki XSS, gdy dashboard jest edytowany przez wywołanie AJAX. Wersje 2.7.13 i 3.2.2 chronią renderowaną treść HTML.

Combodo iTop przed wersjami 2.7.13 i 3.2.2 pozwala administratorowi, poprzez edycję konfiguracji, na wykonanie kodu na serwerze. Wersje 2.7.13 i 3.2.2 zabezpieczają parametr konfiguracji przed wykonaniem poleceń.