CVE-2015-7387

Wysokie

Opublikowano: 28/09/2015(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

ZOHO ManageEngine EventLog Analyzer w wersji 10.6 build 10060 i wcześniejszych umożliwia zdalnym atakującym ominięcie zamierzonych ograniczeń i wykonanie dowolnych poleceń SQL poprzez dozwolone zapytanie, po którym następuje niedozwolone w parametrze zapytania do event/runQuery.do.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do nieautoryzowanego dostępu do bazy danych, co może prowadzić do utraty danych lub ich modyfikacji.

Rekomendacja

Zaleca się aktualizację do wersji 11200 lub nowszej, aby usunąć tę podatność.

Inne podatności w ZOHO ManageEngine EventLog Analyzer

CVE-2014-6037Wysokie
Podatność na przejście do katalogu w serwlecie agentUpload w ZOHO ManageEngine EventLog Analyzer 9.0 build 9002 oraz 8.2 build 8020 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie pliku ZIP zawierającego plik wykonywalny z sekwencjami .. (kropka kropka) w nazwie.

Oryginalny opis (angielski, źródło NVD)

ZOHO ManageEngine EventLog Analyzer 10.6 build 10060 and earlier allows remote attackers to bypass intended restrictions and execute arbitrary SQL commands via an allowed query followed by a disallowed one in the query parameter to event/runQuery.do, as demonstrated by "SELECT 1;INSERT INTO." Fixed in Build 11200.