CVE-2014-8357

Wysokie

Opublikowano: 17/10/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W portalu administracyjnym Zhone zNID GPON 2426A przed wersją S3.0.501 klucz sesji jest umieszczany w adresie URL, co umożliwia zdalnym atakującym uzyskanie dowolnych haseł użytkowników poprzez parametr sessionKey w akcji getConfig do backupsettings.conf.

Ocena ryzyka

Atakujący mogą uzyskać dostęp do poufnych haseł użytkowników, co może prowadzić do nieautoryzowanego dostępu do systemu i danych organizacji.

Rekomendacja

Zaleca się aktualizację oprogramowania do najnowszej wersji, aby usunąć tę podatność oraz unikanie umieszczania kluczy sesji w adresach URL.

Inne podatności w Zhone zNID GPON 2426A

CVE-2014-9118Wysokie
Portal administracyjny w urządzeniu Zhone zNID GPON 2426A przed wersją S3.0.501 jest podatny na zdalne ataki, które umożliwiają wykonanie dowolnych poleceń poprzez wykorzystanie metaznaków powłoki w parametrze ipAddr w zhnping.cmd.

Oryginalny opis (angielski, źródło NVD)

backupsettings.html in the web administrative portal in Zhone zNID GPON 2426A before S3.0.501 places a session key in a URL, which allows remote attackers to obtain arbitrary user passwords via the sessionKey parameter in a getConfig action to backupsettings.conf.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS