CVE-2017-15880
WysokieStreszczenie
W podatności CVE-2017-15880 występuje luka typu SQL injection w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0, która pozwala zdalnym, uwierzytelnionym administratorom na wykonywanie dowolnych poleceń SQL poprzez parametr group_name w module admin_group/add_modify_group.php.
Ocena ryzyka
Zagrożenie to może prowadzić do nieautoryzowanego dostępu do bazy danych oraz manipulacji danymi, co może mieć poważne konsekwencje dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji EyesOfNetwork, aby usunąć tę lukę oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak walidacja danych wejściowych.
Inne podatności w EyesOfNetwork web interface (eonweb) 5.1-0
Zobacz wszystkie- CVE-2017-16000Wysokie
Podatność typu SQL injection w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 umożliwia zdalnym, uwierzytelnionym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr graph w module capacity_per_label/index.php.
- CVE-2017-15933Wysokie
W podatności CVE-2017-15933 w interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje luka typu SQL injection. Umożliwia ona zdalnym, uwierzytelnionym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr host w module capacity_per_device/index.php.
- CVE-2017-14405Wysokie
Interfejs webowy EyesOfNetwork w wersji 5.1-0 umożliwia zdalne wykonanie polecenia poprzez metaznaki powłoki w parametrze hosts_cacti w module/admin_device/index.php.
- CVE-2017-14404Wysokie
Interfejs webowy EyesOfNetwork w wersji 5.1-0 umożliwia lokalne włączenie pliku poprzez parametr tool_list w pliku select_tool.php.
- CVE-2017-14118Wysokie
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje luka, która pozwala na nieprawidłowe ograniczenie wywołań exec. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze host_list w module/tool_all/select_tool.php.
- CVE-2017-14252Krytyczne
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje podatność na atak typu SQL Injection poprzez ciasteczko group_id w pliku side.php.
- CVE-2017-14247Krytyczne
W interfejsie webowym EyesOfNetwork (eonweb) w wersji 5.1-0 występuje podatność na atak typu SQL Injection poprzez ciasteczko user_id w pliku header.php.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability vulnerability in the EyesOfNetwork web interface (aka eonweb) 5.1-0 allows remote authenticated administrators to execute arbitrary SQL commands via the group_name parameter to module/admin_group/add_modify_group.php (for insert_group and update_group).