CVE-2014-2042

Wysokie

Opublikowano: 28/04/2014(UTC)Przetłumaczono: 17/06/2026(UTC)NVD NIST

Streszczenie

W Livetecs Timelive przed wersją 6.5.1 występuje podatność na nieograniczone przesyłanie plików w funkcjonalności zarządzania projektami. Umożliwia to zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym i dostęp do niego za pomocą bezpośredniego żądania.

Ocena ryzyka

Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem. Może to skutkować utratą danych, naruszeniem prywatności oraz uszkodzeniem reputacji firmy.

Rekomendacja

Zaleca się aktualizację Livetecs Timelive do wersji 6.5.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy ograniczające przesyłanie plików tylko do dozwolonych typów.

Inne podatności w Livetecs Timelive

CVE-2014-1217Wysokie
Livetecs Timelive w wersjach przed 6.2.8 nie ogranicza prawidłowo dostępu do pliku systemsetting.aspx, co pozwala zdalnym atakującym na zmianę konfiguracji oraz uzyskanie ciągu połączenia z bazą danych i poświadczeń.

Oryginalny opis (angielski, źródło NVD)

Unrestricted file upload vulnerability in the Manage Project functionality in Livetecs Timelive before 6.5.1 allows remote authenticated users to execute arbitrary code by uploading a file with an executable extension, then accessing it via a direct request to the file in a predictable directory in Uploads/.