CVE-2017-14404
WysokieStreszczenie
Interfejs webowy EyesOfNetwork w wersji 5.1-0 umożliwia lokalne włączenie pliku poprzez parametr tool_list w pliku select_tool.php.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do ujawnienia wrażliwych danych lub wykonania nieautoryzowanego kodu na serwerze.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania oraz wprowadzenie odpowiednich filtrów walidacji danych wejściowych.
Inne podatności w EyesOfNetwork web interface (eonweb) 5.1-0
Zobacz wszystkie- CVE-2017-16000Wysokie
Podatność typu SQL injection w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 umożliwia zdalnym, uwierzytelnionym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr graph w module capacity_per_label/index.php.
- CVE-2017-15933Wysokie
W podatności CVE-2017-15933 w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje luka typu SQL injection. Umożliwia ona zdalnym, uwierzytelnionym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr host w module capacity_per_device/index.php.
- CVE-2017-15880Wysokie
W podatności CVE-2017-15880 występuje luka typu SQL injection w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0, która pozwala zdalnym, uwierzytelnionym administratorom na wykonywanie dowolnych poleceń SQL poprzez parametr group_name w module admin_group/add_modify_group.php.
- CVE-2017-14405Wysokie
Interfejs webowy EyesOfNetwork w wersji 5.1-0 umożliwia zdalne wykonanie polecenia poprzez metaznaki powłoki w parametrze hosts_cacti w module/admin_device/index.php.
- CVE-2017-14118Wysokie
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje luka, która pozwala na nieprawidłowe ograniczenie wywołań exec. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze host_list w module/tool_all/select_tool.php.
- CVE-2017-14252Krytyczne
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje podatność na atak typu SQL Injection poprzez ciasteczko group_id w pliku side.php.
- CVE-2017-14247Krytyczne
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje podatność na atak typu SQL Injection poprzez ciasteczko user_id w pliku header.php.
Oryginalny opis (angielski, źródło NVD)
The EyesOfNetwork web interface (aka eonweb) 5.1-0 allows local file inclusion via the tool_list parameter (aka the url_tool variable) to module/tool_all/select_tool.php, as demonstrated by a tool_list=php://filter/ substring.