CVE-2020-26679
Açıklama
vFairs 3.3, Güvensiz İzinler (Insecure Permissions) sorunundan etkilenmektedir. Bir vFairs sanal konferansına veya etkinliğine giriş yapmış herhangi bir kullanıcı, diğer tüm kullanıcıların profil bilgilerini veya profil resimlerini değiştirebilir. Herhangi bir kullanıcının benzersiz kimlik numarası ve kendi kimlik numarası alındıktan sonra, profil açıklamasını güncellemek veya yeni bir profil resmi sağlamak için bir HTTP POST isteği gönderilebilir. Bu durum, herhangi bir kullanıcıya yönelik potansiyel siteler arası betik çalıştırma (XSS) saldırılarına yol açabilir veya "profil resimleri" olarak kötü amaçlı PHP webshell'lerin yüklenmesine neden olabilir. Kullanıcı kimlikleri (ID), bir etkinlik veya sohbet odası için API'den gelen diğer yanıtlar aracılığıyla kolayca belirlenebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vfairs vfairs | 3.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.