CVE-2024-12483mediumCWE-285CWE-639

CVE-2024-12483: falha de média gravidade em Dromara UJCMS

Dromara UJCMS User ID id authorization

Publicada em

Seguir esta CVE+ Monitorar UJCMS

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

33Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 6.3epss 3.6%
da publicação à arma128 dias
Publicada no NVD11 de dez.
1ª PoC+128d
Em resumo

Uma falha no Dromara UJCMS permite que invasores contornem verificações de autorização ao acessar informações de usuários através do endpoint /users/id. Isso significa que um atacante pode conseguir visualizar dados de usuários sem ter permissão para isso.

Detalhe técnico

Uma vulnerabilidade de bypass de autorização existe no componente User ID Handler do Dromara UJCMS até a versão 9.6.3, afetando o endpoint /users/id. A falha decorre de controle de acesso inadequado (CWE-285, CWE-639), permitindo que atacantes remotos contornem mecanismos de autenticação; a exploração bem-sucedida requer complexidade moderada de ataque e pré-condições específicas, mas pode levar a acesso não autorizado a recursos de usuários.

Resumo gerado e traduzido por IA a partir da descrição oficial.
A vulnerability classified as problematic has been found in Dromara UJCMS up to 9.6.3. This affects an unknown part of the file /users/id of the component User ID Handler. The manipulation leads to authorization bypass. It is possible to initiate the attack remotely. The complexity of an attack is rather high. The exploitability is told to be difficult. The exploit has been disclosed to the public and may be used.
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
Dromara · UJCMS
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Dromara UJCMS

No mesmo produto, das mais perigosas para as menos.

CVE-2026-2953MEDIUMDromara UJCMS Template WebFileTemplateController.delete deleteDirectory path traversalEPSS 0.9%CVE-2026-93961MEDIUMDromara UJCMS UserController UserController.java usernameExist improper authorizationEPSS 0.6%CVE-2026-78140MEDIUMDromara UJCMS web-file-template Endpoint WebFileTemplateController.java update special elements in template engineEPSS 0.4%CVE-2026-2954MEDIUMDromara UJCMS ImportDataController import-channel importChanel injectionEPSS 0.4%