CVE-2022-28802 in Code by Zapier
Tóm tắt
Bởi VulDB • 23/08/2026
Mã nguồn của Code by Zapier trước ngày 2022-08-17 cho phép leo thang đặc quyền trong cùng một tài khoản, bao gồm việc thực thi mã Python hoặc JavaScript. Nói cách khác, Code by Zapier đang cung cấp một máy ảo đa năng do khách hàng kiểm soát, vô tình trao toàn bộ quyền truy cập cho tất cả người dùng thuộc tài khoản của một công ty, nhưng lẽ ra phải áp dụng cơ chế kiểm soát truy cập dựa trên vai trò (RBAC) trong nội bộ tài khoản đó. Trước ngày 2022-08-17, khách hàng có thể đã khắc phục vấn đề này bằng cách (về mặt hiệu quả) sử dụng một máy ảo riêng biệt cho các ứng dụng chứa thông tin xác thực hoặc các bí mật khác không nên được chia sẻ với tất cả nhân viên. (Việc vận hành các máy ảo độc lập này sẽ yêu cầu nhiều tài khoản.)
If you want to get best quality of vulnerability data, you may have to visit VulDB.