CVE-2014-2056
WysokieStreszczenie
PHPDocX, używany w ownCloud Server przed wersją 5.0.15 oraz 6.0.x przed wersją 6.0.2, umożliwia zdalnym atakującym odczyt dowolnych plików, wywołanie odmowy usługi lub potencjalnie inne skutki poprzez atak XML External Entity (XXE).
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych danych lub zakłócić działanie systemu, co może prowadzić do poważnych konsekwencji dla organizacji.
Rekomendacja
Zaleca się aktualizację ownCloud Server do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających przed atakami XXE.
Inne podatności w ownCloud Server
Zobacz wszystkie- CVE-2016-1499Wysokie
Serwer ownCloud w wersjach przed 8.0.10, 8.1.x przed 8.1.5 oraz 8.2.x przed 8.2.2 umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie wrażliwych informacji z listy katalogów oraz potencjalnie spowodowanie odmowy usługi (zużycie CPU) poprzez parametr force w index.php/apps/files/ajax/scan.php.
- CVE-2015-6500Wysokie
W podatności CVE-2015-6500 w serwerze ownCloud przed wersją 8.0.6 oraz 8.1.x przed wersją 8.1.1, zdalni uwierzytelnieni użytkownicy mogą uzyskać dostęp do zawartości katalogów oraz potencjalnie spowodować odmowę usługi poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrze dir do index.php/apps/files/ajax/scan.php.
- CVE-2015-4718Wysokie
Zewnętrzny sterownik pamięci SMB w ownCloud Server przed wersją 6.0.8, 7.0.x przed 7.0.6 oraz 8.0.x przed 8.0.4 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SMB za pomocą znaku ; (średnik) w pliku.
- CVE-2015-4717Wysokie
Komponent sanitizacji nazw plików w ownCloud Server przed wersją 6.0.8, 7.0.x przed 7.0.6 oraz 8.0.x przed 8.0.4 nieprawidłowo obsługuje parametry $_GET rzucone przez PHP do tablicy, co pozwala zdalnym atakującym na wywołanie odmowy usługi (nieskończona pętla i zużycie pliku dziennika) poprzez spreparowane nazwy plików punktów końcowych.
- CVE-2014-2051Wysokie
ownCloud Server w wersjach przed 5.0.15 oraz 6.0.x przed 6.0.2 jest podatny na atak LDAP injection, który może być przeprowadzony przez zdalnych napastników za pomocą nieokreślonych wektorów, co zostało zademonstrowane przy użyciu zapytania 'login'.
- CVE-2014-3834Wysokie
Serwer ownCloud przed wersją 6.0.3 nie sprawdza poprawnie uprawnień, co pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do kontaktów innych użytkowników za pośrednictwem książki adresowej lub na zmianę nazw plików przez nieokreślone wektory.
- CVE-2014-2053Wysokie
getID3() w wersjach przed 1.9.8, używane w ownCloud Server przed 5.0.15 oraz 6.0.x przed 6.0.2, umożliwia zdalnym atakującym odczyt dowolnych plików, spowodowanie odmowy usługi lub potencjalnie inne skutki poprzez atak XML External Entity (XXE).
Oryginalny opis (angielski, źródło NVD)
PHPDocX, as used in ownCloud Server before 5.0.15 and 6.0.x before 6.0.2, allows remote attackers to read arbitrary files, cause a denial of service, or possibly have other impact via an XML External Entity (XXE) attack.