CVE-2017-12929
WysokieStreszczenie
W TecnoVISION DLX Spot Player4 w wersji >1.5.10 występuje podatność na nieautoryzowane przesyłanie plików w pliku resource.php, co pozwala zdalnym uwierzytelnionym użytkownikom na przesyłanie dowolnych plików, prowadząc do zdalnego wykonania poleceń.
Ocena ryzyka
Podatność ta może prowadzić do poważnych zagrożeń dla bezpieczeństwa, umożliwiając atakującym zdalne wykonywanie poleceń na serwerze, co może skutkować utratą danych lub przejęciem kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację TecnoVISION DLX Spot Player4 do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak ograniczenie możliwości przesyłania plików przez użytkowników.
Inne podatności w TecnoVISION DLX Spot Player4
Zobacz wszystkie- CVE-2017-12930Krytyczne
W interfejsie administracyjnym TecnoVISION DLX Spot Player4 w wersji >1.5.10 występuje podatność na atak typu SQL Injection, która pozwala zdalnym, nieautoryzowanym użytkownikom uzyskać dostęp do interfejsu webowego jako administrator przy użyciu spreparowanego hasła.
- CVE-2017-12928Krytyczne
W TecnoVISION DLX Spot Player4 (wszystkie znane wersje) występuje twardo zakodowane hasło 'tecn0visi0n' dla konta dlxuser, co umożliwia zdalnym atakującym logowanie się przez SSH.
Oryginalny opis (angielski, źródło NVD)
Arbitrary File Upload in resource.php of TecnoVISION DLX Spot Player4 version >1.5.10 allows remote authenticated users to upload arbitrary files leading to Remote Command Execution.