CVE-2016-4889
WysokieStreszczenie
ZOHO ManageEngine ServiceDesk Plus w wersjach przed 9.0 pozwala zdalnym, uwierzytelnionym użytkownikom gości na wykorzystanie braku ograniczeń dostępu do nieznanych funkcji, co może prowadzić do nieokreślonego wpływu.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych funkcji, co może skutkować utratą danych lub naruszeniem prywatności.
Rekomendacja
Zaleca się aktualizację do wersji 9.0 lub nowszej, aby zlikwidować tę podatność oraz przegląd polityki dostępu dla użytkowników gości.
Inne podatności w ZOHO ManageEngine ServiceDesk Plus
Zobacz wszystkie- CVE-2021-44077KrytyczneAktywnie exploitowane
Zoho ManageEngine ServiceDesk Plus przed 11306, ServiceDesk Plus MSP przed 10530 oraz SupportCenter Plus przed 11014 są podatne na nieuwierzytelnione zdalne wykonanie kodu. Luka jest związana z adresami URL /RestAPI w servlecie oraz ImportTechnicians w konfiguracji Struts.
- CVE-2021-37415KrytyczneAktywnie exploitowane
Zoho ManageEngine ServiceDesk Plus przed wersją 11302 jest podatny na obejście uwierzytelniania, które pozwala na dostęp do niektórych adresów URL API REST bez uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
ZOHO ManageEngine ServiceDesk Plus before 9.0 allows remote authenticated guest users to have unspecified impact by leveraging failure to restrict access to unknown functions.