Facebook Instagram Linkedin

C/Zaplana, 11 - Entlo. Yecla, Murcia (30510)

Múltiples vulnerabilidades en BudyBoss

In Noticias y Avisos CiberseguridadPosted
Múltiples vulnerabilidades en BudyBoss
cristian.cadenas
Mar, 30/05/2023 – 10:50

Aviso
Recursos Afectados

Sitios WordPress que utilicen la plataforma BuddyBoss, versión 2.2.9.

Descripción

INCIBE ha coordinado la publicación de 3 vulnerabilidades en la plataforma BuddyBoss, que han sido descubiertas por Anxo Januario Gonzales.

A estas vulnerabilidades se les han asignado los códigos:

  • CVE-2023-32669:
    • Puntuación base CVSS v3.1: 5,4.
    • Cálculo del CVSS: AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N.
    • Tipo de vulnerabilidad: CWE-639: acceso no autorizado a datos de otro usuario.
  • CVE-2023-32670:
    • Puntuación base CVSS v3.1: 9,0.
    • Cálculo del CVSS: AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H.
    • Tipo de vulnerabilidad: CWE-79: neutralización inadecuada de la entrada durante la generación de la página web (Cross-Site Scripting).
  • CVE-2023-32671:
    • Puntuación base CVSS v3.1: 6,3.
    • Cálculo del CVSS: AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N.
    • Tipo de vulnerabilidad: CWE-79: neutralización inadecuada de la entrada durante la generación de la página web (Cross-Site Scripting).
5 – Crítica
Solución

No se ha identificado una solución por el momento.

Detalle
  • CVE-2023-32669: vulnerabilidad de bypass de autorización, cuya explotación podría permitir a un usuario autenticado acceder y renombrar los álbumes de otros usuarios. Esta vulnerabilidad puede ser explotada cambiando la identificación del álbum (id).
  • CVE-2023-32670: vulnerabilidad de Cross-Site Scripting, la cual podría permitir, a un atacante local con privilegios básicos, ejecutar un payload malicioso a través del parámetro “[nombre]=imagen.jpg”, permitiendo asignar un payload javascript persistente que se activaría al cargar la imagen asociada.
  • CVE-2023-32671: vulnerabilidad de Cross-Site Scripting almacenada, cuya explotación podría permitir a un atacante almacenar un payload javascript malicioso a través de una solicitud POST al enviar una invitación a otro usuario.
Listado de referencias
Web del producto

Etiquetas

Ir a la fuente
Author: cristian.cadenas
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.