CVE-2017-16850
KrytyczneStreszczenie
Zoho ManageEngine Applications Manager w wersji 13 przed kompilacją 13530 jest podatny na atak typu SQL injection poprzez parametr resourceid w akcji getResourceProfiles.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do bazy danych, co zagraża integralności i poufności danych organizacji.
Rekomendacja
Zaleca się aktualizację Zoho ManageEngine Applications Manager do wersji 13 build 13530 lub nowszej, aby usunąć tę podatność.
Inne podatności w Zoho ManageEngine Applications Manager
Zobacz wszystkie- CVE-2017-16542Wysokie
Zoho ManageEngine Applications Manager w wersji 13 przed build 13500 umożliwia atak typu SQL injection po uwierzytelnieniu poprzez parametr name w żądaniu manageApplications.do?method=insert.
- CVE-2017-16851Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed build 13530 jest podatny na atak typu SQL injection poprzez parametr widgetid w /MyPage.do.
- CVE-2017-16849Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed kompilacją 13530 jest podatny na atak typu SQL injection poprzez parametr forpage w żądaniu /MyPage.do?method=viewDashBoard.
- CVE-2017-16848Krytyczne
Zoho ManageEngine Applications Manager 13 zawiera podatność na wstrzykiwanie SQL poprzez parametr groupname w /manageConfMons.do.
- CVE-2017-16847Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed budową 13530 jest podatny na atak typu SQL injection poprzez parametr resourceid w akcji showPlasmaView.
- CVE-2017-16846Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed buildem 13530 jest podatny na atak typu SQL injection poprzez parametr haid w żądaniu /manageApplications.do?method=AddSubGroup.
- CVE-2017-16543Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed buildem 13500 jest podatny na atak typu SQL injection poprzez GraphicalView.do, co zostało udowodnione za pomocą spreparowanego pola viewProps yCanvas lub parametru viewid.
- CVE-2023-38333Średnie
Zoho ManageEngine Applications Manager w wersji do 16530 umożliwia wystąpienie refleksyjnego ataku XSS podczas zalogowania.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine Applications Manager 13 before build 13530 allows SQL injection via the /showresource.do resourceid parameter in a getResourceProfiles action.