CVE-2014-2867
WysokieStreszczenie
W PaperThin CommonSpot przed wersją 7.0.2 oraz 8.x przed wersją 8.0.3 występuje podatność na nieograniczone przesyłanie plików, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie strony ColdFusion.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego uruchamiania kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji PaperThin CommonSpot, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających dotyczących przesyłania plików.
Inne podatności w PaperThin CommonSpot
Zobacz wszystkie- CVE-2014-2874Wysokie
PaperThin CommonSpot w wersjach przed 7.0.2 oraz 8.x przed 8.0.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie metaznaków powłoki w nieokreślonym kontekście.
- CVE-2014-2868Wysokie
PaperThin CommonSpot w wersjach przed 7.0.2 oraz 8.x przed 8.0.3 umożliwia zdalnym atakującym modyfikację przepływu wykonania kodu ColdFusion poprzez użycie żądania HTTP GET do ustawienia zmiennej ColdFusion.
- CVE-2014-2866Wysokie
PaperThin CommonSpot w wersjach przed 7.0.2 oraz 8.x przed 8.0.3 polega na ograniczeniach dostępu opartych na kodzie JavaScript po stronie klienta, co umożliwia zdalnym atakującym wykonywanie nieokreślonych operacji poprzez modyfikację tego kodu.
- CVE-2014-2864Wysokie
Wielokrotne podatności na przejście katalogu w PaperThin CommonSpot przed wersją 7.0.2 oraz 8.x przed wersją 8.0.3 umożliwiają zdalnym atakującym wywołanie nieokreślonego wpływu poprzez parametr nazwy pliku zawierający sekwencje przejścia katalogu.
- CVE-2014-2863Wysokie
Wielokrotne podatności na przejście przez absolutną ścieżkę w PaperThin CommonSpot przed wersją 7.0.2 oraz 8.x przed wersją 8.0.3 umożliwiają zdalnym atakującym wywołanie nieokreślonego wpływu poprzez pełną ścieżkę w parametrze.
- CVE-2014-2859Wysokie
PaperThin CommonSpot w wersjach przed 7.0.2 oraz 8.x przed 8.0.3 umożliwia zdalnym atakującym ominięcie zamierzonych ograniczeń dostępu poprzez bezpośrednie żądanie.
Oryginalny opis (angielski, źródło NVD)
Unrestricted file upload vulnerability in PaperThin CommonSpot before 7.0.2 and 8.x before 8.0.3 allows remote attackers to execute arbitrary code by uploading a ColdFusion page, and then accessing it via unspecified vectors.