CVE-2019-25434
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w SpotAuditor 5.3.1.0 umożliwia niezautoryzowanym atakującym przeprowadzenie ataku typu odmowa usługi (DoS) poprzez przesłanie nadmiernej ilości danych w polu nazwy rejestracji. Wprowadzenie ciągu znaków o długości 5000 bajtów lub więcej powoduje nieobsłużony wyjątek, który prowadzi do awarii aplikacji.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego i łatwego przeprowadzenia ataku DoS bez uwierzytelniania, co może skutkować przerwaniem działania usługi i niedostępnością systemu dla użytkowników.
Rekomendacja
Należy niezwłocznie zaktualizować SpotAuditor do najnowszej wersji, która zawiera poprawkę usuwającą tę podatność. Jeśli aktualizacja nie jest dostępna, należy ograniczyć dostęp do funkcji rejestracji lub zastosować mechanizmy walidacji długości danych wejściowych.
Inne podatności w SpotAuditor
Zobacz wszystkie- CVE-2019-25666Średnie
SpotAuditor 3.6.7 zawiera lokalny błąd przepełnienia bufora w komponencie dekodera Base64. Atakujący może dostarczyć zbyt długi ciąg Base64, powodując awarię aplikacji.
- CVE-2021-27722Średnie
W programie SpotAuditor 5.3.5 firmy Nsasoft US LLC odkryto podatność polegającą na możliwości spowodowania awarii aplikacji poprzez wprowadzenie 300 bajtów danych znakowych w pole 'Key' lub 'Name' podczas rejestracji.
Oryginalny opis (angielski, źródło NVD)
SpotAuditor 5.3.1.0 contains a denial of service vulnerability that allows unauthenticated attackers to crash the application by submitting excessive data in the registration name field. Attackers can enter a large string of characters (5000 bytes or more) in the name field during registration to trigger an unhandled exception that crashes the application.