CVE-2015-3881
WysokieStreszczenie
Podatność w qdPM 8.3 umożliwia zdalnym atakującym uzyskanie poufnych informacji poprzez bezpośrednie żądanie do określonych plików konfiguracyjnych i logów.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie wrażliwych danych, co może prowadzić do dalszych ataków lub naruszeń prywatności.
Rekomendacja
Zaleca się zabezpieczenie dostępu do wymienionych plików oraz monitorowanie logów w celu wykrycia nieautoryzowanych prób dostępu.
Inne podatności w qdPM 8.3
Zobacz wszystkie- CVE-2015-3884Wysokie
W qdPM 8.3 występuje podatność na nieograniczone przesyłanie plików, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie pliku z rozszerzeniem wykonywalnym.
- CVE-2019-25669Wysokie
qdPM 9.1 jest podatny na iniekcję SQL przez parametr search_by_extrafields[]. Atakujący może manipulować zapytaniami do bazy danych, wysyłając spreparowane żądania POST do endpointu users, co prowadzi do wycieku danych.
Oryginalny opis (angielski, źródło NVD)
Information disclosure issue in qdPM 8.3 allows remote attackers to obtain sensitive information via a direct request to (1) core/config/databases.yml, (2) core/log/qdPM_prod.log, or (3) core/apps/qdPM/config/settings.yml.