Vulnerabilidad en Code by Zapier (CVE-2022-28802)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

21/09/2022

Última modificación:

27/05/2025

Descripción

Code by Zapier versiones anteriores a 17-08-2022, permitía una escalada de privilegios dentro de la cuenta que incluía una ejecución de código Python o JavaScript. En otras palabras, Code by Zapier estaba proporcionando una máquina virtual de propósito general controlada por el cliente que involuntariamente otorgaba acceso completo a todos los usuarios de la cuenta de una empresa, pero suponía que debía hacer cumplir el control de acceso basado en roles dentro de la cuenta de esa empresa. En versiones anteriores a 17-08-2022, un cliente podría haber resuelto esto usando (en efecto) una máquina virtual separada para una aplicación que contuviera credenciales -u otros secretos- que no debían ser compartidos entre todos sus empleados. (Se habrían necesitado varias cuentas para operar estas máquinas virtuales independientes)

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.90 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto