Vulnerabilidad en la biblioteca /WEB-INF/lib/common.php.lib en la función ttMitigateCSRF en Anuko Time Tracker en PHP (CVE-2021-29436)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

13/04/2021

Última modificación:

26/04/2021

Descripción

Anuko Time Tracker es una aplicación de seguimiento del tiempo de código abierto basada en web escrita en PHP.&#xa0;En Time Tracker versiones anteriores a 1.19.27.5431, se presentaba una vulnerabilidad de tipo Cross site request forgery (CSRF).&#xa0;La naturaleza de CSRF es que un usuario que ha iniciado sesión puede ser engañado por ingeniería social para que haga clic en un formulario proporcionado por un atacante que ejecuta una acción no prevista, tal y como cambiar la contraseña del usuario.&#xa0;La vulnerabilidad se corrigió en la versión 1.19.27.5431 de Time Tracker.&#xa0;Una actualización es recomendada.&#xa0;Si la actualización no es práctica, introduzca la función ttMitigateCSRF() en la biblioteca /WEB-INF/lib/common.php.lib usando el último código disponible y llámelo desde la función ttAccessAllowed()

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

8.10

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.80 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno