CVE-2017-14252
KrytyczneStreszczenie
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje podatność na atak typu SQL Injection poprzez ciasteczko group_id w pliku side.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do bazy danych, co może prowadzić do ujawnienia wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania oraz wprowadzenie odpowiednich filtrów walidacji danych wejściowych.
Inne podatności w EyesOfNetwork web interface (eonweb) 5.1-0
Zobacz wszystkie- CVE-2017-16000Wysokie
Podatność typu SQL injection w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 umożliwia zdalnym, uwierzytelnionym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr graph w module capacity_per_label/index.php.
- CVE-2017-15933Wysokie
W podatności CVE-2017-15933 w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje luka typu SQL injection. Umożliwia ona zdalnym, uwierzytelnionym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr host w module capacity_per_device/index.php.
- CVE-2017-15880Wysokie
W podatności CVE-2017-15880 występuje luka typu SQL injection w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0, która pozwala zdalnym, uwierzytelnionym administratorom na wykonywanie dowolnych poleceń SQL poprzez parametr group_name w module admin_group/add_modify_group.php.
- CVE-2017-14405Wysokie
Interfejs webowy EyesOfNetwork w wersji 5.1-0 umożliwia zdalne wykonanie polecenia poprzez metaznaki powłoki w parametrze hosts_cacti w module/admin_device/index.php.
- CVE-2017-14404Wysokie
Interfejs webowy EyesOfNetwork w wersji 5.1-0 umożliwia lokalne włączenie pliku poprzez parametr tool_list w pliku select_tool.php.
- CVE-2017-14118Wysokie
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje luka, która pozwala na nieprawidłowe ograniczenie wywołań exec. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze host_list w module/tool_all/select_tool.php.
- CVE-2017-14247Krytyczne
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje podatność na atak typu SQL Injection poprzez ciasteczko user_id w pliku header.php.
Oryginalny opis (angielski, źródło NVD)
SQL Injection exists in the EyesOfNetwork web interface (aka eonweb) 5.1-0 via the group_id cookie to side.php.