CVE-2024-28735

Unit4 Financials by Coda no verifica correctamente la autorización en una acción de cambio de contraseña, de modo que un usuario autenticado puede elaborar una solicitud que restablezca la contraseña de cualquier otro usuario. Eso convierte un punto de apoyo como usuario común en el control de cualquier cuenta que elija, incluidas las de mayor privilegio, simplemente apoderándose de la credencial.

En una plataforma financiera esto es toma de control de cuentas con consecuencia directa para el negocio: quien posea la cuenta correcta puede aprobar, alterar o exfiltrar registros financieros. El bug necesita un inicio de sesión válido de bajo privilegio para comenzar, así que no es un destrozo abierto por internet, pero cualquier entorno con muchos usuarios, cuentas de autoservicio o una credencial de bajo nivel comprometida está a una solicitud de la escalada de privilegios a través de toda la aplicación.

Enmarcamos esto como un riesgo de encadenamiento y movimiento lateral más que perimetral. La palanca de los defensores está en vigilar el abuso específico —solicitudes inesperadas de cambio de contraseña dirigidas a otros usuarios— y en ajustar quién posee cuentas de la aplicación en absoluto. Dado el contexto financiero, priorizaríamos esta por encima de su 8.1 en cualquier inquilino donde el aprovisionamiento de usuarios sea laxo, porque el paso de 'un usuario' a 'el administrador de finanzas' aquí es una sola llamada manipulada.