CVE-2020-21884

WysokieCVSS 8.8

Opublikowano: 09/04/2021(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.14%

Percentyl 63 - wyżej niż 63% wszystkich znanych CVE

Streszczenie

Unibox SMB 2.4, UniBox Enterprise Series 2.4 oraz UniBox Campus Series 2.4 zawierają podatność na fałszerstwo żądania międzywitrynowego (CSRF) w kilku endpointach, takich jak /tools/network-trace, /list_users, /list_byod?usertype=raduser, /dhcp_leases oraz /go?rid=202. Specjalnie spreparowane żądanie HTTP może umożliwić atakującemu ponowne skonfigurowanie urządzenia bez zgody administratora.

Ocena ryzyka

Ryzyko polega na tym, że atakujący może wykorzystać CSRF do zmiany konfiguracji urządzenia sieciowego, co może prowadzić do naruszenia integralności sieci, wycieku danych lub przerwania działania usług.

Rekomendacja

Zaleca się natychmiastową aktualizację oprogramowania do najnowszej wersji, która usuwa tę podatność, oraz wdrożenie mechanizmów ochrony CSRF, takich jak tokeny anty-CSRF w aplikacjach webowych.

Inne podatności w Unibox

CVE-2020-21883Wysokie
Urządzenia UniBox U-50 2.4, Enterprise Series 2.4 oraz Campus Series 2.4 zawierają podatność na wstrzykiwanie poleceń systemu operacyjnego w skrypcie /tools/ping. Luka ta umożliwia atakującemu przejęcie pełnej kontroli nad urządzeniem.

Oryginalny opis (angielski, źródło NVD)

Unibox SMB 2.4 and UniBox Enterprise Series 2.4 and UniBox Campus Series 2.4 contain a cross-site request forgery (CSRF) vulnerability in /tools/network-trace, /list_users, /list_byod?usertype=raduser, /dhcp_leases, /go?rid=202 in which a specially crafted HTTP request may reconfigure the device.