CVE-2017-14759
KrytyczneStreszczenie
OpenText Document Sciences xPression w wersji 4.5SP1 Patch 13 (starsze wersje mogą być również podatne) ma lukę w postaci podatności na XML External Entity. Nieautoryzowany użytkownik może uzyskać dostęp do list katalogów lub plików systemowych, a także wywołać SSRF lub Denial of Service.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych danych oraz na ataki, które mogą prowadzić do przestoju systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania oraz wdrożenie odpowiednich zabezpieczeń, aby ograniczyć dostęp do krytycznych usług.
Inne podatności w OpenText Document Sciences xPression v4.5SP1 Patch 13
Zobacz wszystkie- CVE-2017-14758Wysokie
OpenText Document Sciences xPression w wersji 4.5SP1 Patch 13 (starsze wersje mogą być również podatne) jest podatny na atak typu SQL Injection w parametrze documentId na stronie /xAdmin/html/cm_doclist_view_uc.jsp. Aby wykorzystać tę podatność, atakujący musi najpierw uwierzytelnić się w aplikacji.
- CVE-2017-14757Wysokie
OpenText Document Sciences xPression w wersji 4.5SP1 Patch 13 (starsze wersje mogą być również podatne) jest podatny na atak typu SQL Injection w parametrze jobRunId w ścieżce /xDashboard/html/jobhistory/downloadSupportFile.action. Aby wykorzystać tę podatność, atakujący musi najpierw uwierzytelnić się w aplikacji.
Oryginalny opis (angielski, źródło NVD)
OpenText Document Sciences xPression (formerly EMC Document Sciences xPression) v4.5SP1 Patch 13 (older versions might be affected as well) is prone to an XML External Entity vulnerability: /xFramework/services/QuickDoc.QuickDocHttpSoap11Endpoint/. An unauthenticated user is able to read directory listings or system files, or cause SSRF or Denial of Service.