Múltiples vulnerabilidades en Sentrifugo

Fecha de publicación 21/03/2024
Importancia
5 - Crítica
Recursos Afectados
  • Sentrifugo, versión 3.2.
Descripción

INCIBE ha coordinado la publicación de 10 vulnerabilidades, 7 de severidad crítica y 3 de severidad alta, que afectan a Sentrifugo versión 3.2, un sistema de gestión de recursos humanos, las cuales han sido descubiertas por Rafael Pedrero.

A estas vulnerabilidades se le han asignado los siguientes códigos, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:

  • CVE-2024-29870 a CVE-2024-29876: 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | CWE-89
  • CVE-2024-29877 a CVE-2024-29879: 7.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L  | CWE-79

Solución

No hay solución reportada por el momento.

Detalle
  • Vulnerabilidad en Sentrifugo 3.2 que consiste en una inyección SQL, y cuya explotación podría permitir a un usuario remoto enviar una consulta especialmente diseñada al servidor y extraer todos los datos de la misma. La relación de CVE asignados es la siguiente:
    • CVE-2024-29870: /sentrifugo/index.php/index/getdepartments/format/html, parámetro 'business_id'.
    • CVE-2024-29871: /sentrifugo/index.php/index/updatecontactnumber, parámetro 'id'.
    • CVE-2024-29872: /sentrifugo/index.php/empscreening/add, parámetro 'agencyids'.
    • CVE-2024-29873: /sentrifugo/index.php/reports/businessunits/format/html, parámetro 'bunitname'.
    • CVE-2024-29874: /sentrifugo/index.php/default/reports/activeuserrptpdf, parámetro 'sort_name'.
    • CVE-2024-29875: /sentrifugo/index.php/default/reports/exportactiveuserrpt, parámetro 'sort_name'.
    • CVE-2024-29876: /sentrifugo/index.php/reports/activitylogreport, parámetro 'sortby'.
  • Vulnerabilidad en Sentrifugo 3.2, que consiste en un Cross-Site Scripting (XSS). La explotación de esta vulnerabilidad podría permitir a un usuario remoto enviar una URL especialmente diseñada a la víctima y robar sus datos de sesión. La relación de CVE asignados es la siguiente:
    • CVE-2024-29877: /sentrifugo/index.php/expenses/expensecategories/edit, parámetro 'expense_category_name'.
    • CVE-2024-29878: /sentrifugo/index.php/sitepreference/add, parámetro 'description'.
    • CVE-2024-29879: /sentrifugo/index.php/index/getdepartments/format/html, parámetro 'business_id'.
Listado de referencias
Web del fabricante
Etiquetas