Использование жестко запрограммированных учетных данных в компоненте управления персоналом в Roskus Prospero Flow CRM до версии 5.15.9 позволяет удаленным злоумышленникам, не прошедшим проверку подлинности, аутентифицироваться как любой сотрудник, подключенный через стандартный поток, зная только свой адрес электронной почты, поскольку контроллер сохранения сотрудников возвращается к буквальному паролю «changeme», а форма регистрации не содержит поля пароля.
Показать оригинальное описание (EN)
Use of Hard-coded Credentials in the human resources component in Roskus Prospero Flow CRM before 5.15.9 allows unauthenticated remote attackers to authenticate as any employee onboarded through the standard flow, knowing only their email address, because the employee save controller falls back to the literal password "changeme" and the onboarding form provides no password field.
Характеристики атаки
Последствия
Строка CVSS v4.0