CVE-2017-16542
WysokieStreszczenie
Zoho ManageEngine Applications Manager w wersji 13 przed build 13500 umożliwia atak typu SQL injection po uwierzytelnieniu poprzez parametr name w żądaniu manageApplications.do?method=insert.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych zapytań SQL, co może prowadzić do ujawnienia danych lub kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację do wersji 13 build 13500 lub nowszej, aby usunąć tę podatność.
Inne podatności w Zoho ManageEngine Applications Manager
Zobacz wszystkie- CVE-2017-16851Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed build 13530 jest podatny na atak typu SQL injection poprzez parametr widgetid w /MyPage.do.
- CVE-2017-16850Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed kompilacją 13530 jest podatny na atak typu SQL injection poprzez parametr resourceid w akcji getResourceProfiles.
- CVE-2017-16849Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed kompilacją 13530 jest podatny na atak typu SQL injection poprzez parametr forpage w żądaniu /MyPage.do?method=viewDashBoard.
- CVE-2017-16848Krytyczne
Zoho ManageEngine Applications Manager 13 zawiera podatność na wstrzykiwanie SQL poprzez parametr groupname w /manageConfMons.do.
- CVE-2017-16847Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed budową 13530 jest podatny na atak typu SQL injection poprzez parametr resourceid w akcji showPlasmaView.
- CVE-2017-16846Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed buildem 13530 jest podatny na atak typu SQL injection poprzez parametr haid w żądaniu /manageApplications.do?method=AddSubGroup.
- CVE-2017-16543Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed buildem 13500 jest podatny na atak typu SQL injection poprzez GraphicalView.do, co zostało udowodnione za pomocą spreparowanego pola viewProps yCanvas lub parametru viewid.
- CVE-2023-38333Średnie
Zoho ManageEngine Applications Manager w wersji do 16530 umożliwia wystąpienie refleksyjnego ataku XSS podczas zalogowania.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine Applications Manager 13 before build 13500 allows Post-authentication SQL injection via the name parameter in a manageApplications.do?method=insert request.