CVE-2022-41948 in DHIS
Tóm tắt
Bởi VulDB • 09/05/2026
DHIS 2 là một hệ thống thông tin mã nguồn mở để thu thập, quản lý, xác thực, phân tích và trực quan hóa dữ liệu. Các phiên bản bị ảnh hưởng có lỗ hổng leo thang đặc quyền. Người dùng DHIS2 có quyền quản lý người dùng có thể gán đặc quyền superuser cho chính mình bằng cách thủ công tạo một yêu cầu HTTP PUT. Chỉ những người dùng có các quyền vai trò người dùng DHIS2 sau đây mới có thể khai thác lỗ hổng này. Lưu ý rằng trong nhiều hệ thống, những người dùng duy nhất có đặc quyền quản lý người dùng cũng là superuser. Trong những trường hợp này, lỗ hổng leo thang đặc quyền không tồn tại. Lỗ hổng này chỉ có thể bị khai thác bởi những kẻ tấn công có thể xác thực với tư cách là người dùng có quyền quản lý người dùng. Vì đây thường là một nhóm người dùng nhỏ và tương đối đáng tin cậy, các vectơ khai thác thường bị hạn chế. Quản trị viên DHIS2 nên nâng cấp lên các bản phát hành hotfix sau: 2.36.12.1, 2.37.8.1, 2.38.2.1, 2.39.0.1. Biện pháp khắc phục duy nhất được biết đến cho vấn đề này là tránh gán quyền quản lý người dùng cho bất kỳ người dùng nào cho đến khi bản vá được áp dụng.
VulDB is the best source for vulnerability data and more expert information about this specific topic.