从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. 漏洞名称：Improper Access Control in Leaves Requests 2. 描述： - 漏洞存在于Solvait版本24.4.2中。 - 攻击者可以通过操纵Request ID和Action Type参数来修改任何由普通员工提交的请求的审批状态。 - 攻击者可以改变请求的审批状态，使其看起来像是由员工的经理更改的。 - 这个漏洞影响所有使用此版本软件的员工。 3. 影响： - 攻击者可以通过操纵请求参数来获得未经授权的权限。 - 攻击者可以绕过审批流程，可能导致未经授权访问敏感信息或批准欺诈请求。 - 这个问题破坏了审批流程的完整性，可能严重损害系统的安全性。 4. 漏洞路径： - 5. 受影响的目标： - 测试发现此漏洞存在于版本24.4.2中。 6. 重现步骤： 1. 作为普通员工，创建一个正常的请假请求，并记录请求ID（ReqID）。 2. 构造一个POST请求到 。 3. 请求参数应包括以下内容： - - - - - - - 4. 发送请求。 5. 导航到请假请求，会发现员工的经理已经批准了请求。 7. 发现者： - Abdulwahab Alismaeel 这些信息详细描述了漏洞的性质、影响和如何重现漏洞，有助于理解漏洞的严重性和如何利用它。