CVE-2014-2987
Beschrijving NL
Meerdere cross-site request forgery (CSRF) -kwetsbaarheden in EGroupware Enterprise Line (EPL) vóór 1.1.20140505, EGroupware Community Edition vóór 1.8.007.20140506 en EGroupware vóór 14.1 beta stellen externe aanvallers in staat om de authenticatie van beheerders te kapen voor verzoeken die (1) een beheerdergebruiker aanmaken via een admin.uiaccounts.add_user-actie naar index.php of (2) instellingen wijzigen via de nieuwsinstellingsparameter in een admin.uiconfig.index-actie naar index.php. OPMERKING: vector 2 kan worden gebruikt om willekeurige PHP-code uit te voeren door CVE-2014-2988 te gebruiken.
Origineel (Engels) tonen
Multiple cross-site request forgery (CSRF) vulnerabilities in EGroupware Enterprise Line (EPL) before 1.1.20140505, EGroupware Community Edition before 1.8.007.20140506, and EGroupware before 14.1 beta allow remote attackers to hijack the authentication of administrators for requests that (1) create an administrator user via an admin.uiaccounts.add_user action to index.php or (2) modify settings via the newsettings parameter in an admin.uiconfig.index action to index.php. NOTE: vector 2 can be used to execute arbitrary PHP code by leveraging CVE-2014-2988.