CVE-2017-16848
KrytyczneStreszczenie
Zoho ManageEngine Applications Manager 13 zawiera podatność na wstrzykiwanie SQL poprzez parametr groupname w /manageConfMons.do.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do bazy danych, co może prowadzić do ujawnienia wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Inne podatności w Zoho ManageEngine Applications Manager 13
Zobacz wszystkie- CVE-2017-16542Wysokie
Zoho ManageEngine Applications Manager w wersji 13 przed build 13500 umożliwia atak typu SQL injection po uwierzytelnieniu poprzez parametr name w żądaniu manageApplications.do?method=insert.
- CVE-2017-16851Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed build 13530 jest podatny na atak typu SQL injection poprzez parametr widgetid w /MyPage.do.
- CVE-2017-16850Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed kompilacją 13530 jest podatny na atak typu SQL injection poprzez parametr resourceid w akcji getResourceProfiles.
- CVE-2017-16849Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed kompilacją 13530 jest podatny na atak typu SQL injection poprzez parametr forpage w żądaniu /MyPage.do?method=viewDashBoard.
- CVE-2017-16847Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed budową 13530 jest podatny na atak typu SQL injection poprzez parametr resourceid w akcji showPlasmaView.
- CVE-2017-16846Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed buildem 13530 jest podatny na atak typu SQL injection poprzez parametr haid w żądaniu /manageApplications.do?method=AddSubGroup.
- CVE-2017-16543Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed buildem 13500 jest podatny na atak typu SQL injection poprzez GraphicalView.do, co zostało udowodnione za pomocą spreparowanego pola viewProps yCanvas lub parametru viewid.
- CVE-2023-38333Średnie
Zoho ManageEngine Applications Manager w wersji do 16530 umożliwia wystąpienie refleksyjnego ataku XSS podczas zalogowania.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine Applications Manager 13 allows SQL injection via the /manageConfMons.do groupname parameter.