CVE-2017-14758
WysokieStreszczenie
OpenText Document Sciences xPression w wersji 4.5SP1 Patch 13 (starsze wersje mogą być również podatne) jest podatny na atak typu SQL Injection w parametrze documentId na stronie /xAdmin/html/cm_doclist_view_uc.jsp. Aby wykorzystać tę podatność, atakujący musi najpierw uwierzytelnić się w aplikacji.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do danych w bazie danych, co może skutkować wyciekiem wrażliwych informacji. Organizacje powinny być świadome ryzyka związanego z nieautoryzowanym dostępem do danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania oraz wdrożenie dodatkowych mechanizmów zabezpieczających, takich jak monitorowanie logów i ograniczenie dostępu do aplikacji.
Inne podatności w OpenText Document Sciences xPression v4.5SP1 Patch 13
Zobacz wszystkie- CVE-2017-14757Wysokie
OpenText Document Sciences xPression w wersji 4.5SP1 Patch 13 (starsze wersje mogą być również podatne) jest podatny na atak typu SQL Injection w parametrze jobRunId w ścieżce /xDashboard/html/jobhistory/downloadSupportFile.action. Aby wykorzystać tę podatność, atakujący musi najpierw uwierzytelnić się w aplikacji.
- CVE-2017-14759Krytyczne
OpenText Document Sciences xPression w wersji 4.5SP1 Patch 13 (starsze wersje mogą być również podatne) ma lukę w postaci podatności na XML External Entity. Nieautoryzowany użytkownik może uzyskać dostęp do list katalogów lub plików systemowych, a także wywołać SSRF lub Denial of Service.
Oryginalny opis (angielski, źródło NVD)
OpenText Document Sciences xPression (formerly EMC Document Sciences xPression) v4.5SP1 Patch 13 (older versions might be affected as well) is prone to SQL Injection: /xAdmin/html/cm_doclist_view_uc.jsp, parameter: documentId. In order for this vulnerability to be exploited, an attacker must authenticate to the application first.