CVE-2017-9355
WysokieStreszczenie
W podatności CVE-2017-9355 występuje luka XXE w funkcji importu playlist w Subsonic 6.1.1, która może umożliwić zdalnym atakującym przeprowadzenie ataków SSRF za pomocą spreparowanego pliku playlisty XSPF.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do przeprowadzenia ataków na serwer, co może prowadzić do ujawnienia wrażliwych danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację Subsonic do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie odpowiednich zabezpieczeń w celu ochrony przed atakami SSRF.
Inne podatności w Subsonic 6.1.1
Zobacz wszystkie- CVE-2017-9413Wysokie
Wielokrotne podatności typu cross-site request forgery (CSRF) w funkcji Podcast w Subsonic 6.1.1 umożliwiają zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla określonych żądań, takich jak subskrypcja podcastu lub aktualizacja ustawień Internet Radio.
- CVE-2017-9415Wysokie
Podatność CSRF w subsonic 6.1.1 umożliwia zdalnym atakującym, którzy znają nazwę użytkownika, przejęcie autoryzacji użytkowników w celu zmiany haseł poprzez spreparowane żądanie do userSettings.view.
Oryginalny opis (angielski, źródło NVD)
XML external entity (XXE) vulnerability in the import playlist feature in Subsonic 6.1.1 might allow remote attackers to conduct server-side request forgery (SSRF) attacks via a crafted XSPF playlist file.