onPhase Forms 11.0.14に認証回避、遠隔でOS命令実行の恐れ
Summary
onPhase(frevvo)の公開登録フォームに認証回避の脆弱性があり、認証なしの攻撃者が既存ユーザーとして認証され、管理者相当の権限を得てOSコマンドを実行できるおそれがあります。影響が公表されているのは版11.0.14で、利用している組織は公開登録フォームの到達範囲を確認してください。修正版の版番号は、ベンダーのリリースノートで確かめてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
onPhase(frevvo)の公開登録フォームに認証回避の脆弱性があり、認証なしの攻撃者が既存ユーザーとして認証され、管理者相当の権限を得てOSコマンドを実行できるおそれがあります。影響が公表されているのは版11.0.14で、利用している組織は公開登録フォームの到達範囲を確認してください。修正版の版番号は、ベンダーのリリースノートで確かめてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| onPhase | onPhase Forms | — | — |
Original description The description as published by the source.
An authentication bypass vulnerability in the public onPhase/ frevvo registration form version 11.0.14 allows an unauthenticated remote attacker to authenticate as an arbitrary tenant user, obtain TenantAdmin and Designer privileges, and execute arbitrary operating system commands via manipulation of registration parameters containing a valid tenant name and existing user identifier.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web frevvo-docs.atlassian.net
- web frevvo-docs.atlassian.net
- web nvd.nist.gov
- web github.com