CVE-2017-14247
KrytyczneStreszczenie
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje podatność na atak typu SQL Injection poprzez ciasteczko user_id w pliku header.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu do bazy danych, co może prowadzić do ujawnienia wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania oraz wprowadzenie filtracji danych wejściowych w celu zminimalizowania ryzyka ataku.
Inne podatności w EyesOfNetwork web interface (eonweb) 5.1-0
Zobacz wszystkie- CVE-2017-16000Wysokie
Podatność typu SQL injection w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 umożliwia zdalnym, uwierzytelnionym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr graph w module capacity_per_label/index.php.
- CVE-2017-15933Wysokie
W podatności CVE-2017-15933 w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje luka typu SQL injection. Umożliwia ona zdalnym, uwierzytelnionym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr host w module capacity_per_device/index.php.
- CVE-2017-15880Wysokie
W podatności CVE-2017-15880 występuje luka typu SQL injection w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0, która pozwala zdalnym, uwierzytelnionym administratorom na wykonywanie dowolnych poleceń SQL poprzez parametr group_name w module admin_group/add_modify_group.php.
- CVE-2017-14405Wysokie
Interfejs webowy EyesOfNetwork w wersji 5.1-0 umożliwia zdalne wykonanie polecenia poprzez metaznaki powłoki w parametrze hosts_cacti w module/admin_device/index.php.
- CVE-2017-14404Wysokie
Interfejs webowy EyesOfNetwork w wersji 5.1-0 umożliwia lokalne włączenie pliku poprzez parametr tool_list w pliku select_tool.php.
- CVE-2017-14118Wysokie
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje luka, która pozwala na nieprawidłowe ograniczenie wywołań exec. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze host_list w module/tool_all/select_tool.php.
- CVE-2017-14252Krytyczne
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje podatność na atak typu SQL Injection poprzez ciasteczko group_id w pliku side.php.
Oryginalny opis (angielski, źródło NVD)
SQL Injection exists in the EyesOfNetwork web interface (aka eonweb) 5.1-0 via the user_id cookie to header.php, a related issue to CVE-2017-1000060.