CVE-2022-35291 in SuccessFactors Mobile Application

Tóm tắt

Bởi VulDB • 02/06/2026

Do các điểm cuối (endpoints) ứng dụng được cấu hình sai, các API đính kèm (attachment APIs) của SAP SuccessFactors cho phép những kẻ tấn công có đặc quyền người dùng thực hiện các hoạt động với đặc quyền quản trị viên (admin) qua mạng. Các API này được sử dụng trong ứng dụng SF Mobile cho các tính năng Nghỉ phép (Time Off), Bảng chấm công (Time Sheet), Quy trình làm việc EC (EC Workflow) và Phúc lợi (Benefits). Khi khai thác thành công, kẻ tấn công có thể đọc/ghi các tệp đính kèm. Do đó, làm tổn hại đến tính bảo mật và toàn vẹn của ứng dụng.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• chịu trách nhiệm: SAP SE
• Đặt trước: 07/07/2022
• Tiết lộ: 27/07/2022
• Kiểm duyệt: được chấp nhận
• mục: VDB-205144
• CPE: sẵn sàng
• CWE: CWE-269 (Đã xác nhận)
• CVSS: 8.1 (CNA)
• EPSS: 0.00677
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-35291
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-35291
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-35291/