CVE-2021-37293
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 70 - wyżej niż 70% wszystkich znanych CVE
Streszczenie
Podatność typu Directory Traversal w systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0. Atakujący może wykorzystać parametr 'page' w pliku index.php do odczytu dowolnych plików na serwerze.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do poufnych plików konfiguracyjnych, danych systemowych lub innych zasobów, co może prowadzić do wycieku informacji i dalszej eskalacji ataku.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Jeśli nie jest dostępna, ograniczyć dostęp do panelu administracyjnego i zweryfikować poprawność parametru 'page'.
Inne podatności w KevinLAB Inc Building Energy Management System 4ST BEMS
Zobacz wszystkie- CVE-2021-37292Wysokie
W systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0 istnieje niezabezpieczone konto backdoor, które umożliwia nieautoryzowany dostęp z najwyższymi uprawnieniami administratora. Luka wynika z braku kontroli dostępu i obecności ukrytego konta.
- CVE-2021-37291Krytyczne
Podatność SQL Injection w systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0. Atakujący może wstrzyknąć złośliwe zapytania SQL przez parametr input_id w żądaniu POST do pliku index.php.
Oryginalny opis (angielski, źródło NVD)
A Directory Traversal vulnerability exists in KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0 via the page GET parameter in index.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS