یک آسیب‌پذیری امنیتی در نسخه 9.7.0 نرم‌افزار Eleveo Quality Management کشف شده است که منجر به افشای اطلاعات (Information Disclosure) می‌شود.
جزئیات فنی
این نقص امنیتی در تابع UtilsService.createAndSaveAudit در مسیر /qm/cz.zoom.scorecard.webui.Scorecard/QMUtilsService و در بخش GWT RPC Handler رخ می‌دهد. با بهره‌برداری از این آسیب‌پذیری، یک مهاجم می‌تواند به داده‌های حساس دسترسی پیدا کند.
شرایط بهره‌برداری
- دسترسی: حمله به صورت از راه دور (Remote) قابل اجرا است.
- پیش‌نیاز: مهاجم باید دارای یک حساب کاربری با سطح دسترسی پایین (Low-privilege account) و یک نشست (Session) معتبر باشد.
- تاثیر: این آسیب‌پذیری تنها بر محرمانگی (Confidentiality) تاثیر می‌گذارد و هیچ اثر سوئی بر یکپارچگی (Integrity) یا در دسترس بودن (Availability) سیستم ندارد.
در حال حاضر کد اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است و می‌تواند مورد استفاده قرار گیرد. بر اساس گزارش‌های موجود، سازنده نرم‌افزار با وجود اطلاع از این نقص، پاسخی ارائه نکرده است.
