CVE-2014-1996
WysokieStreszczenie
Cybozu Garoon 3.7 przed SP4 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu oraz na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez wywołanie API.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane wykonanie kodu oraz ataki typu denial of service, co może prowadzić do poważnych zakłóceń w działaniu systemu.
Rekomendacja
Zaleca się aktualizację Cybozu Garoon do wersji SP4 lub nowszej, aby usunąć tę podatność.
Inne podatności w Cybozu Garoon
Zobacz wszystkie- CVE-2016-7803Wysokie
Podatność na wstrzykiwanie SQL w Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym, uwierzytelnionym atakującym na wykonywanie dowolnych poleceń SQL za pomocą funkcji 'MultiReport'.
- CVE-2016-4907Wysokie
Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym atakującym na uzyskanie tokenów CSRF za pomocą nieokreślonych wektorów.
- CVE-2016-1218Wysokie
W podatności CVE-2016-1218 występuje luka typu SQL injection w Cybozu Garoon przed wersją 4.2.2.
- CVE-2016-1193Wysokie
Cybozu Garoon w wersjach od 3.7 do 4.2 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji dotyczących odczytu e-maili poprzez nieokreślone wektory.
- CVE-2016-1189Wysokie
Cybozu Garoon w wersjach 3.x i 4.x przed 4.2.1 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dotyczących odczytu, tworzenia lub modyfikacji portletu za pomocą nieokreślonych wektorów.
- CVE-2015-5646Wysokie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP poprzez nieokreślone wektory.
- CVE-2015-5649Wysokie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 niewłaściwie obsługuje żądania uwierzytelnienia, co pozwala zdalnym, uwierzytelnionym użytkownikom przeprowadzać ataki LDAP injection. W rezultacie mogą oni obejść zamierzone ograniczenia logowania lub uzyskać dostęp do wrażliwych informacji, wykorzystując określone uprawnienia administracyjne grupy.
- CVE-2016-1219Krytyczne
Cybozu Garoon w wersjach przed 4.2.2 pozwala zdalnym atakującym na ominięcie uwierzytelniania logowania poprzez wykorzystanie interfejsu API.
- CVE-2026-57279Średnie
Cybozu Garoon zawiera podatność na cross-site scripting. Jeśli zostanie wykorzystana, może zostać wykonany dowolny skrypt w przeglądarce internetowej zalogowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Cybozu Garoon 3.7 before SP4 allows remote authenticated users to bypass intended access restrictions, and execute arbitrary code or cause a denial of service, via an API call.