Към съдържанието
Търсене

CVE-2023-31139: dhis2-core, друго

4.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

DHIS2 Core contains the service layer and Web API for DHIS2, an information system for data capture. Starting in the 2.37 branch and prior to versions 2.37.9.1, 2.38.3.1, and 2.39.1.2, Personal Access Tokens (PATs) generate unrestricted session cookies. This may lead to a bypass of other access restrictions (for example, based on allowed IP addresses or HTTP methods). DHIS2 implementers should upgrade to a supported version of DHIS2: 2.37.9.1, 2.38.3.1, or 2.39.1.2. Implementers can work around this issue by adding extra access control validations on a reverse proxy.

Засегнати продукти

  • dhis2 dhis2-core: >= 2.37, < 2.37.9.1; >= 2.38, < 2.38.3.1; >= 2.39, < 2.39.1.2

Вид слабост

История

  • 9 май 2023 Публикувано

Други уязвимости в dhis2 dhis2-core

Първоизточници

CVE-2023-31139: dhis2-core, друго | freedomonline.bg