IBM UrbanCode Deploy 6.0.x before 6.0.1.13, 6.1.x before 6.1.3.3, and 6.2.x before 6.2.1.1 does not properly implement a logging-obfuscation

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ibm urbancode deploy6.0
• ibm urbancode deploy6.0.1.0
• ibm urbancode deploy6.0.1.1
• ibm urbancode deploy6.0.1.10
• ibm urbancode deploy6.0.1.11
• ibm urbancode deploy6.0.1.12
• ibm urbancode deploy6.0.1.2
• ibm urbancode deploy6.0.1.3
• ibm urbancode deploy6.0.1.4
• ibm urbancode deploy6.0.1.5
• ibm urbancode deploy6.0.1.6
• ibm urbancode deploy6.0.1.7
• ibm urbancode deploy6.0.1.8
• ibm urbancode deploy6.0.1.9
• ibm urbancode deploy6.1
• ibm urbancode deploy6.1.0.1
• ibm urbancode deploy6.1.0.2
• ibm urbancode deploy6.1.0.3
• ibm urbancode deploy6.1.0.4
• ibm urbancode deploy6.1.1.0

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2016-8938IBM UrbanCode Deploy could allow a user to execute code using a specially crafted file upload that would replace code on the server.
  41В плане
• CVE-2022-22315IBM UrbanCode Deploy (UCD) 7.2.2.1 could allow an authenticated user with special permissions to obtain elevated privileges due to improper
  35Наблюдать
• CVE-2020-4202IBM UrbanCode Deploy (UCD) 7.0.3.0 and 7.0.4.0 could allow an authenticated user to impersonate another user if the server is configured to
  35Наблюдать
• CVE-2014-8900Cross-site request forgery (CSRF) vulnerability in IBM UrbanCode Release 6.0.1.6 and earlier, 6.1.0.7 and earlier, and 6.1.1.1 and earlier.
  35Наблюдать
• CVE-2020-4481IBM UrbanCode Deploy (UCD) 6.2.7.3, 6.2.7.4, 7.0.3.0, and 7.0.4.0 is vulnerable to an XML External Entity Injection (XXE) attack when proces
  33Наблюдать
• CVE-2017-1149IBM UrbanCode Deploy (UCD) 6.0, 6.1, and 6.2 is vulnerable to a denial of service, caused by an XML External Entity Injection (XXE) error wh
  32Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.