CVE-2024-25632: fallo de gravedad alta en elabftw
Unauthorised granting of administrator privileges over arbitrary teams under certain circumstances
Publicada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Una vulnerabilidad en eLabFTW permite que usuarios normales obtengan privilegios de administrador en su equipo sin autorización, y en algunas versiones, usuarios no autenticados podrían acceder como admin a cualquier equipo. Esto es grave porque los administradores pueden gestionar usuarios y datos sensibles de investigación.
El fallo reside en controles de autorización insuficientes en las funciones de administración de equipos. Miembros regulares del equipo pueden explotar esto bajo configuraciones específicas para elevar a administrador; en versiones posteriores a v5.0.0, atacantes no autenticados también pueden obtener acceso administrativo a equipos arbitrarios. Las cuentas de administrador del sistema no se ven afectadas.
En el mismo producto, de las más peligrosas a las menos.