CVE-2024-53855 in centurion_erp
Riassunto
di VulDB • 20/06/2026
Centurion ERP (Enterprise Resource Planning) è un'applicazione semplice sviluppata per fornire una gestione IT open source con un forte accento sui moduli IT Service Management (ITSM). Un utente autenticato e con permessi di visualizzazione per un ticket può visualizzare i ticket di un'altra organizzazione a cui non appartiene. I permessi applicabili sono i seguenti: 1. Il permesso `view_ticket_change` consente di visualizzare i ticket di modifica da organizzazioni a cui non si appartiene. 2. Il permesso `view_ticket_incident` consente di visualizzare i ticket di incidente da organizzazioni a cui non si appartiene. 3. Il permesso `view_ticket_request` consente di visualizzare i ticket di richiesta da organizzazioni a cui non si appartiene. 4. Il permesso `view_ticket_problem` consente di visualizzare i ticket di problema da organizzazioni a cui non si appartiene. L'accesso per visualizzare i ticket di organizzazioni diverse è applicabile solo durante la navigazione agli endpoint API per i ticket in questione. L'interfaccia utente (UI) di Centurion non è interessata. I Project Tasks, sebbene siano un "tipo di ticket", non sono **affatto** interessati. Questo problema è stato risolto nella versione 1.3.1 e si consiglia agli utenti di effettuare l'aggiornamento. Gli utenti che non possono effettuare l'aggiornamento possono rimuovere i permessi di visualizzazione dei ticket dagli utenti, il che mitigerebbe questa vulnerabilità; se ciò non è considerato fattibile, si consiglia l'aggiornamento.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.