Dolibarr before 24.0.0 contains an improper authorization vulnerability in the Members REST API...
概要
Dolibarr before 24.0.0 contains an improper authorization vulnerability in the Members REST API...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
Dolibarr before 24.0.0 contains an improper authorization vulnerability in the Members REST API that allows attackers with only member-creation rights to reset the password of any user account, including the system administrator, without verifying password-change permissions. Attackers can supply an arbitrary user account identifier and new password in the request body to overwrite credentials and immediately lock out the legitimate account holder.
出典: NIST National Vulnerability Database NVD GitHub Advisory
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Dolibarrのバージョン24.0.0未満において、メンバーREST APIに不適切な認可脆弱性が存在します。この脆弱性により、メンバー作成権限のみを持つ攻撃者が、任意のユーザーアカウントのパスワードを無許可でリセットし、正当なアカウント保持者を即座にロックアウトすることが可能です。これは、システム管理者のアカウントも含まれます。
Dolibarr のメンバーREST APIにおける不適切な認可の脆弱性。
Dolibarr バージョン24.0.0未満の製品。
攻撃者が任意のユーザーアカウントのパスワードを無許可でリセットすることができるため、管理者アカウントも含めて正当な保持者をロックアウト可能です。
Dolibarrをバージョン24.0.0にアップデートしてください。
特になし。
APIアクセスログを監視し、異常なパスワードリセットリクエストの有無を確認します。