CVE-2016-20030
KrytyczneCVSS 9.8Streszczenie
ZKTeco ZKBioSecurity 3.0 zawiera podatność na enumerację użytkowników, która pozwala nieautoryzowanym atakującym na odkrycie ważnych nazw użytkowników poprzez przesyłanie częściowych znaków w parametrze nazwy użytkownika.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do identyfikacji ważnych kont użytkowników, co może prowadzić do dalszych ataków na system.
Rekomendacja
Zaleca się wprowadzenie mechanizmów ograniczających odpowiedzi aplikacji na nieprawidłowe dane logowania oraz monitorowanie prób logowania.
Inne podatności w ZKTeco ZKBioSecurity 3.0
Zobacz wszystkie- CVE-2016-20031Średnie
ZKTeco ZKBioSecurity 3.0 zawiera podatność na obejście lokalnej autoryzacji w pliku visLogin.jsp, która pozwala atakującym na uwierzytelnienie bez ważnych poświadczeń poprzez fałszowanie żądań localhost.
- CVE-2016-20029Średnie
ZKTeco ZKBioSecurity 3.0 zawiera podatność na manipulację ścieżkami plików, która umożliwia atakującym dostęp do dowolnych plików poprzez modyfikację ścieżek plików używanych do pobierania lokalnych zasobów.
- CVE-2016-20028Średnie
ZKTeco ZKBioSecurity 3.0 zawiera podatność typu cross-site request forgery, która pozwala atakującym na wykonywanie działań administracyjnych poprzez oszukiwanie zalogowanych użytkowników, aby odwiedzili złośliwe strony internetowe. Atakujący mogą tworzyć żądania HTTP, które dodają konta superadmina bez weryfikacji, co umożliwia nieautoryzowany dostęp administracyjny.
- CVE-2016-20027Średnie
ZKTeco ZKBioSecurity 3.0 zawiera wiele podatności na refleksyjny atak XSS, które pozwalają atakującym na wykonanie dowolnego kodu HTML i skryptów poprzez wstrzykiwanie złośliwych ładunków w niesanitizowanych parametrach w wielu skryptach.
Oryginalny opis (angielski, źródło NVD)
ZKTeco ZKBioSecurity 3.0 contains a user enumeration vulnerability that allows unauthenticated attackers to discover valid usernames by submitting partial characters via the username parameter. Attackers can send requests to the authLoginAction!login.do script with varying username inputs to enumerate valid user accounts based on application responses.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS