CVE-2020-26678
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
Podatność w vFairs 3.3 umożliwia zdalne wykonanie kodu. Każdy zalogowany użytkownik może wykorzystać funkcję przesyłania zdjęcia profilowego do umieszczenia złośliwego pliku PHP na serwerze i uzyskania wykonania kodu.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, co prowadzi do naruszenia poufności, integralności i dostępności danych organizacji oraz potencjalnie do dalszych ataków na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować vFairs do najnowszej wersji oraz wdrożyć walidację typów plików i ograniczenia przesyłania na serwerze.
Inne podatności w vFairs
Zobacz wszystkie- CVE-2020-26680Średnie
W vFairs 3.3 każdy zalogowany użytkownik może modyfikować profil dowolnego innego użytkownika, wstrzykując złośliwy kod JavaScript (XSS). Baza danych przechowuje znaczniki HTML, które są renderowane na stronie, co umożliwia ataki XSS.
- CVE-2020-26679Średnie
Podatność w vFairs 3.3 wynika z nieprawidłowych uprawnień, umożliwiając zalogowanemu użytkownikowi modyfikację profili innych uczestników. Atakujący może zmienić opis lub zdjęcie profilowe dowolnego użytkownika, znając jego unikalny identyfikator.
- CVE-2020-26677Wysokie
Podatność SQL Injection w vFairs 3.3 umożliwia każdemu zalogowanemu użytkownikowi wstrzyknięcie złośliwego zapytania SQL do API. Atakujący może manipulować bazą danych konferencji lub wydarzenia.
Oryginalny opis (angielski, źródło NVD)
vFairs 3.3 is affected by Remote Code Execution. Any user logged in to a vFairs virtual conference or event can abuse the functionality to upload a profile picture in order to place a malicious PHP file on the server and gain code execution.