QRZ.com user administration escalation

[IZ0IEN]

Un check di sicurezza molto blando in QRZ.com permette a chiunque di essere amministratore di qualsiasi call su QRZ.com

E' stata inviata una mail agli amministratori di QRZ.com per informarli della vulnerabilità. Al momento non ci sono soluzioni che gli utenti possono mettere in atto per impedire la cosa.

I dettagli saranno postati dopo la risposta degli amminitratori di QRZ.COM.


73,
Cris IZ0IEN

[IZ1VVA]

Re: QRZ.com user administration escalation

Ciao, puoi essere più preciso?
Ti riferisci anche a questo caso http://www.hamradioweb.org/forums/sh...1240#post31240 o sono due cose completamente diverse?

Un check di sicurezza molto blando in QRZ.com permette a chiunque di essere amministratore di qualsiasi call su QRZ.com

E' stata inviata una mail agli amministratori di QRZ.com per informarli della vulnerabilità. Al momento non ci sono soluzioni che gli utenti possono mettere in atto per impedire la cosa.

I dettagli saranno postati dopo la risposta degli amminitratori di QRZ.COM.


73,
Cris IZ0IEN

[IZ0IEN]

Re: QRZ.com user administration escalation

Ciao, puoi essere più preciso?
Ti riferisci anche a questo caso http://www.hamradioweb.org/forums/sh...1240#post31240 o sono due cose completamente diverse?

Completanente diverse. Io parlo di poter modificare la pagina di un utente qualsiasi e di avere completo accesso al suo account.

Cris IZ0IEN

[IZ1GIP]

Re: QRZ.com user administration escalation

Un check di sicurezza molto blando in QRZ.com permette a chiunque di essere amministratore di qualsiasi call su QRZ.com

E' stata inviata una mail agli amministratori di QRZ.com per informarli della vulnerabilità. Al momento non ci sono soluzioni che gli utenti possono mettere in atto per impedire la cosa.

I dettagli saranno postati dopo la risposta degli amminitratori di QRZ.COM.


73,
Cris IZ0IEN

Ecco perchè al "noto personaggio" che pascola fisso a 14.195 , ogni tanto gli cancellano la sua pagina QRZ.com !!
E' da molto che mi domandavo come fosse possibile...
Scoperto l'arcano

[IZ0IEN]

Re: QRZ.com user administration escalation

Un check di sicurezza molto blando in QRZ.com permette a chiunque di essere amministratore di qualsiasi call su QRZ.com

E' stata inviata una mail agli amministratori di QRZ.com per informarli della vulnerabilità. Al momento non ci sono soluzioni che gli utenti possono mettere in atto per impedire la cosa.

I dettagli saranno postati dopo la risposta degli amminitratori di QRZ.COM.


73,
Cris IZ0IEN

Fred Lloyd, AA7BQ, ha risposto alla mia mail. Sono d'accordo con lui che , in effetti, non sono esposti dati sensibili dell'utente.
Purtuttavia il problema esiste, e potrebbe essere fastidioso anche se temporaneo.

Ho proposto una soluzione: chiaramente l'amministratore di QRZ.com è Fred, e a lui spetta ogni decisione.

Dopo aver letto la mail di Fred, ho comunque deciso che i dettagli della vulnerabilità non saranno disponibili al pubblico.

Cristiano IZ0IEN