Уязвимость была обнаружена в BichitroGan ISP Billing Software 2025.3.20. Поражена неизвестная функция файла /?_route=settings/users-view/ к…
Уязвимость была обнаружена в BichitroGan ISP Billing Software 2025.3.20. Поражена неизвестная функция файла /?_route=settings/users-view/ компонента Endpoint. Манипулирование аргументом ID приводит к неправильному контролю идентификаторов ресурсов. Атака может быть запущена удаленно. Эксплойт был обнародован и может быть использован. С поставщиком связались рано по поводу этого раскрытия, но он никоим образом не ответил.
Продукт получает входные данные от вышестоящего компонента, однако не ограничивает или некорректно ограничивает их перед использованием в качестве идентификатора ресурса, который может находиться за пределами предполагаемой сферы управления.
https://cwe.mitre.org/data/definitions/99.html →Открыть в коллекции CWE →Данный шаблон атаки предполагает вызов переполнения буфера путём манипуляции переменными окружения. Обнаружив возможность изменить переменную окружения, злоумышленник может попытаться переполнить связанные с ней буферы. Атака использует неявное доверие, которое нередко оказывается переменным окружения.
https://capec.mitre.org/data/definitions/10.html →Открыть в коллекции CAPEC →Как правило, это файлы, редактируемые вручную и не находящиеся в зоне видимости системных администраторов. Любая возможность злоумышленника изменять эти файлы, например в репозитории CVS, предоставляет несанкционированный доступ непосредственно к приложению — такой же, как у авторизованных пользователей.
https://capec.mitre.org/data/definitions/75.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует слабости в проверке входных данных, манипулируя идентификаторами ресурсов, что позволяет непредвиденно изменять или указывать ресурс.
https://capec.mitre.org/data/definitions/240.html →Открыть в коллекции CAPEC →