RosarioSIS Stores Sensitive Data in a Mechanism without Access Control
RosarioSIS prior to 11.0 allows anyone, regardless of authentication status, to download and view file attachments under the salaries module. In addition, the file names contain a date in a YYYY-MM-DD format and a random six-string digit, making enumerating file names with automated tools relatively easy. This could allow an attacker to gain access to sensitive salary information. The patch for version 11.0 adds microseconds to filenames to make them harder to guess.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | francoisjacquet/rosariosis | < 11.0 | 11.0 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Debilidad (CWE)
CWE-921, CWE-922- Plataforma
- Composer
- Paquete
francoisjacquet/rosariosis- Publicada
- 19.05.2023
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-36cm-h8gv-mg97 - CC BY 4.0
Historial de vulnerabilidades: francoisjacquet/rosariosis
Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 17
- Primera → última
- 05.2021 04.2024
- Sin corrección
- 2
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 3
- Alta 3
- Media 10
- Baja 1
Divulgaciones por año
- 2021: 2
- 2022: 10
- 2023: 4
- 2024: 1
- 2025: 0
- 2026: 0
-
RosarioSIS Stores Sensitive Data in a Mechanism without Access Control esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.