CVE-2014-1217

Wysokie

Opublikowano: 28/04/2014(UTC)Przetłumaczono: 17/06/2026(UTC)NVD NIST

Streszczenie

Livetecs Timelive w wersjach przed 6.2.8 nie ogranicza prawidłowo dostępu do pliku systemsetting.aspx, co pozwala zdalnym atakującym na zmianę konfiguracji oraz uzyskanie ciągu połączenia z bazą danych i poświadczeń.

Ocena ryzyka

Atakujący mogą zmieniać krytyczne ustawienia systemowe, co prowadzi do potencjalnego wycieku danych i naruszenia bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację Livetecs Timelive do wersji 6.2.8 lub nowszej, aby zlikwidować tę podatność.

Inne podatności w Livetecs Timelive

CVE-2014-2042Wysokie
W Livetecs Timelive przed wersją 6.5.1 występuje podatność na nieograniczone przesyłanie plików w funkcjonalności zarządzania projektami. Umożliwia to zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym i dostęp do niego za pomocą bezpośredniego żądania.

Oryginalny opis (angielski, źródło NVD)

Livetecs Timelive before 6.2.8 does not properly restrict access to systemsetting.aspx, which allows remote attackers to change configurations and obtain the database connection string and credentials via unspecified vectors.