CVE-2017-9602

Krytyczne

Opublikowano: 16/06/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Pakiet aplikacji KBVault Mysql Free Knowledge Base w wersji 0.16a zawiera komponent zarządzania plikami, który umożliwia nieautoryzowanym użytkownikom dostęp do funkcji przesyłania i usuwania plików. Użytkownik może przesłać skrypt ASPX do katalogu Uploads/Documents/, co pozwala na uruchomienie dowolnego kodu.

Ocena ryzyka

Ryzyko dla organizacji polega na możliwości uruchomienia złośliwego kodu przez nieautoryzowanych użytkowników, co może prowadzić do kompromitacji systemu i utraty danych.

Rekomendacja

Zaleca się zaktualizowanie aplikacji do najnowszej wersji oraz wdrożenie odpowiednich mechanizmów uwierzytelniania i autoryzacji dla funkcji zarządzania plikami.

Oryginalny opis (angielski, źródło NVD)

KBVault Mysql Free Knowledge Base application package 0.16a comes with a FileExplorer/Explorer.aspx?id=/Uploads file-management component. An unauthenticated user can access the file upload and deletion functionality. Through this functionality, a user can upload an ASPX script to Uploads/Documents/ to run any arbitrary code.