Podatność CVE-2020-8494

Podatność CVE-2020-8494

Publikacja: 2020-01-30 Modyfikacja: 2020-01-31

Opis:

In Kronos Web Time and Attendance (webTA) 3.8.x and later 3.x versions before 4.0, the com.threeis.webta.H402editUser servlet allows an attacker with Timekeeper, Master Timekeeper, or HR Admin privileges to gain unauthorized administrative privileges within the application via the emp_id, userid, pw1, pw2, supervisor, and timekeeper parameters.

Typ:

CWE-269

(Improper Privilege Management)

CVSS2 => (AV:N/AC:L/Au:S/C:P/I:P/A:P)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
6.5/10	6.4/10	8/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Niska	Jednorazowa
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Częściowy	Częściowy	Częściowy

Affected software
Kronos -> Web time and attendance

Referencje:

http://www.nolanbkennedy.com/post/privilege-escalation-2-in-kronos-web-time-and-attendance-webta

https://www.kronos.com/products/kronos-webta

Copyright 2024, cxsecurity.com