CVE-2017-3185
KrytyczneStreszczenie
Kamery ACTi, w tym serie D, B, I i E, z oprogramowaniem układowym w wersji A1D-500-V6.11.31-AC, mają aplikację webową, która wykorzystuje metodę GET do przetwarzania żądań zawierających wrażliwe informacje, takie jak nazwa użytkownika i hasło.
Ocena ryzyka
Użycie metody GET do przesyłania wrażliwych danych może prowadzić do ich ujawnienia poprzez historię przeglądarki, referery, logi serwera i inne źródła, co stwarza ryzyko kradzieży danych użytkowników.
Rekomendacja
Zaleca się aktualizację oprogramowania układowego kamer do najnowszej wersji oraz zmianę metod przesyłania wrażliwych informacji na bardziej bezpieczne, takie jak POST.
Oryginalny opis (angielski, źródło NVD)
ACTi cameras including the D, B, I, and E series using firmware version A1D-500-V6.11.31-AC have a web application that uses the GET method to process requests that contain sensitive information such as user account name and password, which can expose that information through the browser's history, referrers, web logs, and other sources.