Aktywnie wykorzystywana w atakach
Zoho ManageEngine ServiceDesk Plus (SDP) File Upload Vulnerability
Zoho - ManageEngine · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2019-8394
ŚrednieCVSS 6.5KEVStreszczenie
Zoho ManageEngine ServiceDesk Plus (SDP) w wersji przed 10.0 build 10012 pozwala zdalnym atakującym na przesyłanie dowolnych plików poprzez dostosowywanie strony logowania.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki na serwer, co może prowadzić do wykonania kodu lub przejęcia systemu.
Rekomendacja
Należy zaktualizować Zoho ManageEngine ServiceDesk Plus do wersji 10.0 build 10012 lub nowszej.
Inne podatności w Zoho ManageEngine ServiceDesk Plus
Zobacz wszystkie- CVE-2016-4889Wysokie
ZOHO ManageEngine ServiceDesk Plus w wersjach przed 9.0 pozwala zdalnym, uwierzytelnionym użytkownikom gości na wykorzystanie braku ograniczeń dostępu do nieznanych funkcji, co może prowadzić do nieokreślonego wpływu.
- CVE-2021-44077KrytyczneAktywnie exploitowane
Zoho ManageEngine ServiceDesk Plus przed 11306, ServiceDesk Plus MSP przed 10530 oraz SupportCenter Plus przed 11014 są podatne na nieuwierzytelnione zdalne wykonanie kodu. Luka jest związana z adresami URL /RestAPI w servlecie oraz ImportTechnicians w konfiguracji Struts.
- CVE-2021-37415KrytyczneAktywnie exploitowane
Zoho ManageEngine ServiceDesk Plus przed wersją 11302 jest podatny na obejście uwierzytelniania, które pozwala na dostęp do niektórych adresów URL API REST bez uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine ServiceDesk Plus (SDP) before 10.0 build 10012 allows remote attackers to upload arbitrary files via login page customization.