CVE-2017-14146
WysokieStreszczenie
HelpDEZk w wersji 1.1.1 pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu PHP poprzez przesłanie załącznika .php, a następnie zażądanie go w katalogu helpdezk\app\uploads\helpdezk\attachments\.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się aktualizację HelpDEZk do najnowszej wersji oraz wdrożenie ścisłej kontroli nad przesyłanymi plikami, aby zapobiec przesyłaniu niebezpiecznych typów plików.
Inne podatności w HelpDEZk 1.1.1
Zobacz wszystkie- CVE-2017-7447Wysokie
HelpDEZk w wersji 1.1.1 zawiera podatność CSRF w admin/home#/logos/, co może prowadzić do zdalnego wykonania dowolnego kodu PHP.
- CVE-2017-7446Wysokie
HelpDEZk w wersji 1.1.1 zawiera podatność CSRF w ścieżce admin/home#/person/, co umożliwia uzyskanie uprawnień administratora.
- CVE-2017-14145Krytyczne
HelpDEZk w wersji 1.1.1 zawiera podatność typu SQL Injection w pliku loginController.php, która występuje w funkcji selectWarning. Problem ten dotyczy ścieżki admin/login/getWarningInfo/id/ w aplikacji.
Oryginalny opis (angielski, źródło NVD)
HelpDEZk 1.1.1 allows remote authenticated users to execute arbitrary PHP code by uploading a .php attachment and then requesting it in the helpdezk\app\uploads\helpdezk\attachments\ directory.