Anmelden
Deutsch English Español Polski
Mittel

TeamPass Improper Privilege Management

  • Veröffentlicht: 13.05.2022
  • Aktualisiert: 11.10.2026 10:22

TeamPass before 2.1.27.9 does not properly enforce manager access control when requesting users.queries.php. It is then possible for a manager user to delete an arbitrary user (including admin), or modify attributes of any arbitrary user except administrator. To exploit the vulnerability, an authenticated attacker must have the manager rights on the application, then tamper with the requests sent directly, for example by changing the "id" parameter when invoking "delete_user" on users.queries.php.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket nilsteampassnet/teampass < 2.1.27.9 2.1.27.9

Verweise

CVSS-Wert 4.9/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N
Schwäche (CWE)
CWE-269
Plattform
Composer
Paket
nilsteampassnet/teampass
Veröffentlicht
13.05.2022
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-5qr3-4839-88gf - CC BY 4.0

Schwachstellenhistorie: nilsteampassnet/teampass

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (42) im Archiv
Einträge insgesamt
42
Erste → letzte
07.2021 12.2024
Ohne Fix
11
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 15
  • Mittel 21

Veröffentlichungen pro Jahr

Schweregrad:
  1. TeamPass privileges issue
    Kritisch · 5.4 CVE-2024-50703 < 3.1.3.1 3.1.3.1
  2. TeamPass information exposure vulnerability
    Hoch · 7.5 CVE-2023-3553 < 3.0.10 3.0.10
  3. TeamPass vulnerable to Improper Encoding or Escaping of Output
    Hoch · 7.6 CVE-2023-3552 < 3.0.10 3.0.10
  4. TeamPass Code Injection vulnerability
    Kritisch · 9.1 CVE-2023-3551 < 3.0.10 3.0.10
  5. TeamPass Cross-site Scripting vulnerability
    Hoch · 8.1 CVE-2023-3531 < 3.0.10 3.0.10
  6. TeamPass vulnerable to stored Cross-site Scripting
    Kritisch · 9.0 CVE-2023-3086 < 3.0.9 3.0.9
  7. TeamPass vulnerable to stored Cross-site Scripting
    Hoch · 8.1 CVE-2023-3084 < 3.0.9 3.0.9
  8. TeamPass vulnerable to stored Cross-site Scripting
    Hoch · 8.7 CVE-2023-3083 < 3.0.9 3.0.9
  9. Code injection in nilsteampassnet/teampass
    Hoch · 7.1 CVE-2023-2859 < 3.0.9 3.0.9
  10. teampass vulnerable to code injection
    Hoch · 7.1 CVE-2023-2591 < 3.0.7 3.0.7
  11. Teampass SQL Injection vulnerability
    Hoch · 7.5 CVE-2023-1545 < 3.0.0.22 3.0.0.22
  12. TeamPass External Control of File Name or Path vulnerability
    Hoch · 7.1 CVE-2023-1070 < 3.0.0.23 3.0.0.23
  13. TeamPass PHP arbitrary file include vulnerability
    Hoch · 8.8 CVE-2020-12479 <= 2.1.27.36 keine Korrektur
  14. TeamPass files are available without authentication
    Hoch · 7.5 CVE-2020-12478 = 2.1.27.36 keine Korrektur
  15. TeamPass vulnerable to SQL Injection
    Kritisch · 9.8 CVE-2015-7564 < 2.1.25 2.1.25
  16. TeamPass SQL injection in users.queries.php
    Kritisch · 9.8 CVE-2017-9436 < 2.1.27.5 2.1.27.5
  17. TeamPass arbitrary file upload vulnerability
    Hoch · 7.5 CVE-2017-15054 < 2.1.27.9 2.1.27.9
  18. TeamPass Improper Privilege Management
    Hoch · 8.1 CVE-2017-15055 < 2.1.27.9 2.1.27.9
  19. TeamPass Improper Privilege Management dieser Eintrag
    Mittel · 4.9 CVE-2017-15052 < 2.1.27.9 2.1.27.9
  20. TeamPass Storing Passwords in a Recoverable Format vulnerability
    Kritisch · 9.8 CVE-2019-1000001 <= 2.1.27 keine Korrektur
  21. Missing Authorization in TeamPass
    Hoch · 8.1 CVE-2020-11671 <= 2.1.27.36 keine Korrektur
  22. Incorrect Authorization in TeamPass
    Hoch · 7.5 CVE-2020-12477 <= 2.1.27.36 keine Korrektur

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.