- Sentrifugo, versión 3.2.
INCIBE ha coordinado la publicación de 10 vulnerabilidades, 7 de severidad crítica y 3 de severidad alta, que afectan a Sentrifugo versión 3.2, un sistema de gestión de recursos humanos, las cuales han sido descubiertas por Rafael Pedrero.
A estas vulnerabilidades se le han asignado los siguientes códigos, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2024-29870 a CVE-2024-29876: 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | CWE-89
- CVE-2024-29877 a CVE-2024-29879: 7.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L | CWE-79
No hay solución reportada por el momento.
- Vulnerabilidad en Sentrifugo 3.2 que consiste en una inyección SQL, y cuya explotación podría permitir a un usuario remoto enviar una consulta especialmente diseñada al servidor y extraer todos los datos de la misma. La relación de CVE asignados es la siguiente:
- CVE-2024-29870: /sentrifugo/index.php/index/getdepartments/format/html, parámetro ‘business_id’.
- CVE-2024-29871: /sentrifugo/index.php/index/updatecontactnumber, parámetro ‘id’.
- CVE-2024-29872: /sentrifugo/index.php/empscreening/add, parámetro ‘agencyids’.
- CVE-2024-29873: /sentrifugo/index.php/reports/businessunits/format/html, parámetro ‘bunitname’.
- CVE-2024-29874: /sentrifugo/index.php/default/reports/activeuserrptpdf, parámetro ‘sort_name’.
- CVE-2024-29875: /sentrifugo/index.php/default/reports/exportactiveuserrpt, parámetro ‘sort_name’.
- CVE-2024-29876: /sentrifugo/index.php/reports/activitylogreport, parámetro ‘sortby’.
- Vulnerabilidad en Sentrifugo 3.2, que consiste en un Cross-Site Scripting (XSS). La explotación de esta vulnerabilidad podría permitir a un usuario remoto enviar una URL especialmente diseñada a la víctima y robar sus datos de sesión. La relación de CVE asignados es la siguiente:
- CVE-2024-29877: /sentrifugo/index.php/expenses/expensecategories/edit, parámetro ‘expense_category_name’.
- CVE-2024-29878: /sentrifugo/index.php/sitepreference/add, parámetro ‘description’.
- CVE-2024-29879: /sentrifugo/index.php/index/getdepartments/format/html, parámetro ‘business_id’.
Ir a la fuente
Author:
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.
TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.
Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.