CVE-2015-5646
WysokieStreszczenie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP poprzez nieokreślone wektory.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do systemu oraz wykonania złośliwego kodu, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Cybozu Garoon, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa systemu.
Inne podatności w Cybozu Garoon
Zobacz wszystkie- CVE-2016-7803Wysokie
Podatność na wstrzykiwanie SQL w Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym, uwierzytelnionym atakującym na wykonywanie dowolnych poleceń SQL za pomocą funkcji 'MultiReport'.
- CVE-2016-4907Wysokie
Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym atakującym na uzyskanie tokenów CSRF za pomocą nieokreślonych wektorów.
- CVE-2016-1218Wysokie
W podatności CVE-2016-1218 występuje luka typu SQL injection w Cybozu Garoon przed wersją 4.2.2.
- CVE-2016-1193Wysokie
Cybozu Garoon w wersjach od 3.7 do 4.2 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji dotyczących odczytu e-maili poprzez nieokreślone wektory.
- CVE-2016-1189Wysokie
Cybozu Garoon w wersjach 3.x i 4.x przed 4.2.1 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dotyczących odczytu, tworzenia lub modyfikacji portletu za pomocą nieokreślonych wektorów.
- CVE-2015-5649Wysokie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 niewłaściwie obsługuje żądania uwierzytelnienia, co pozwala zdalnym, uwierzytelnionym użytkownikom przeprowadzać ataki LDAP injection. W rezultacie mogą oni obejść zamierzone ograniczenia logowania lub uzyskać dostęp do wrażliwych informacji, wykorzystując określone uprawnienia administracyjne grupy.
- CVE-2014-1996Wysokie
Cybozu Garoon 3.7 przed SP4 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu oraz na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez wywołanie API.
- CVE-2016-1219Krytyczne
Cybozu Garoon w wersjach przed 4.2.2 pozwala zdalnym atakującym na ominięcie uwierzytelniania logowania poprzez wykorzystanie interfejsu API.
- CVE-2026-57279Średnie
Cybozu Garoon zawiera podatność na cross-site scripting. Jeśli zostanie wykorzystana, może zostać wykonany dowolny skrypt w przeglądarce internetowej zalogowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Cybozu Garoon 3.x through 3.7.5 and 4.x through 4.0.3 allows remote authenticated users to execute arbitrary PHP code via unspecified vectors, aka CyVDB-863 and CyVDB-867.