CVE-2017-14757
WysokieStreszczenie
OpenText Document Sciences xPression w wersji 4.5SP1 Patch 13 (starsze wersje mogą być również podatne) jest podatny na atak typu SQL Injection w parametrze jobRunId w ścieżce /xDashboard/html/jobhistory/downloadSupportFile.action. Aby wykorzystać tę podatność, atakujący musi najpierw uwierzytelnić się w aplikacji.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do danych w bazie danych, co stwarza poważne zagrożenie dla integralności i poufności informacji w organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków SQL Injection.
Inne podatności w OpenText Document Sciences xPression v4.5SP1 Patch 13
Zobacz wszystkie- CVE-2017-14758Wysokie
OpenText Document Sciences xPression w wersji 4.5SP1 Patch 13 (starsze wersje mogą być również podatne) jest podatny na atak typu SQL Injection w parametrze documentId na stronie /xAdmin/html/cm_doclist_view_uc.jsp. Aby wykorzystać tę podatność, atakujący musi najpierw uwierzytelnić się w aplikacji.
- CVE-2017-14759Krytyczne
OpenText Document Sciences xPression w wersji 4.5SP1 Patch 13 (starsze wersje mogą być również podatne) ma lukę w postaci podatności na XML External Entity. Nieautoryzowany użytkownik może uzyskać dostęp do list katalogów lub plików systemowych, a także wywołać SSRF lub Denial of Service.
Oryginalny opis (angielski, źródło NVD)
OpenText Document Sciences xPression (formerly EMC Document Sciences xPression) v4.5SP1 Patch 13 (older versions might be affected as well) is prone to SQL Injection: /xDashboard/html/jobhistory/downloadSupportFile.action, parameter: jobRunId. In order for this vulnerability to be exploited, an attacker must authenticate to the application first.