CVE-2019-6961

https://notcve.org/view.php?id=CVE-2019-6961

Incorrect access control in actionHandlerUtility.php in the RDK RDKB-20181217-1 WebUI module allows a logged in user to control DDNS, QoS, RIP, and other privileged configurations (intended only for the network operator) by sending an HTTP POST to the PHP backend, because the page filtering for non-superuser (in header.php) is done only for GET requests and not for direct AJAX calls. Control de acceso incorrecto en actionHandlerUtility.php en el RDK RDKB-20181217-1 El módulo WebUI permite que un usuario registrado controle DDNS, QoS, RIP y otras configuraciones privilegiadas (destinadas solo para el operador de red) enviando un HTTP POST al PHP backend, porque el filtrado de páginas para no superusuarios (en header.php) se realiza solo para solicitudes GET y no para llamadas AJAX directas. • https://dojo.bullguard.com/dojo-by-bullguard/blog/the-gateway-is-wide-open • CWE-862: Missing Authorization •