CVE-2020-36897
KrytyczneStreszczenie
QiHang Media Web Digital Signage 3.0.9 zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu w pliku QH.aspx, która umożliwia atakującym wgranie złośliwych skryptów ASPX. Atakujący mogą wykorzystać funkcję wgrywania plików za pomocą parametrów 'remotePath' i 'fileToUpload' do zapisu i wykonania dowolnych poleceń systemowych na serwerze.
Ocena ryzyka
Ryzyko dla organizacji to całkowite przejęcie serwera przez nieuwierzytelnionego atakującego, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania do najnowszej wersji oraz ograniczenie dostępu do panelu administracyjnego i funkcji wgrywania plików.
Oryginalny opis (angielski, źródło NVD)
QiHang Media Web Digital Signage 3.0.9 contains an unauthenticated remote code execution vulnerability in the QH.aspx file that allows attackers to upload malicious ASPX scripts. Attackers can exploit the file upload functionality by using the 'remotePath' and 'fileToUpload' parameters to write and execute arbitrary system commands on the server.