CVE-2021-41318
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
W Progress WhatsUp Gold przed wersją 21.1.0 punkt końcowy aplikacji nie filtrował odpowiednio złośliwych danych wejściowych, co mogło pozwolić nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu w przeglądarce ofiary.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji przeglądarki użytkownika, kradzież danych lub rozprzestrzenianie złośliwego oprogramowania w organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Progress WhatsUp Gold do wersji 21.1.0 lub nowszej oraz przeszkolenie użytkowników w zakresie bezpiecznego klikania w linki.
Inne podatności w WhatsUp Gold
Zobacz wszystkie- CVE-2024-6670KrytyczneAktywnie exploitowane
W wersjach WhatsUp Gold wydanych przed 2024.0.0 podatność SQL Injection pozwala nieuwierzytelnionemu atakującemu na odzyskanie zaszyfrowanego hasła użytkownika.
- CVE-2024-4885KrytyczneAktywnie exploitowane
W WhatsUp Gold w wersjach przed 2023.1.3 występuje podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu. Funkcja WhatsUp.ExportUtilities.Export.GetFileWithoutZip pozwala na wykonanie poleceń z uprawnieniami iisapppool\nmconsole.
- CVE-2026-65941Wysokie
WhatsUp Gold przed wersją 2026.0.2 zawiera podatność umożliwiającą nieuwierzytelnionemu zdalnemu atakującemu wykonanie dowolnego kodu w kontekście konta usługi IIS.
- CVE-2026-65940Średnie
W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może zapisywać dowolne pliki w lokalizacji dostępnej przez sieć na serwerze hosta.
- CVE-2026-65939Średnie
W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może utworzyć akcję LogToFile z dowolnym rozszerzeniem pliku w katalogu głównym IIS.
- CVE-2026-65938Średnie
W wersjach WhatsUp Gold przed 2026.0.2, luka w autoryzacji w API Scheduled Reports pozwala każdemu uwierzytelnionemu użytkownikowi na wywoływanie ograniczonych akcji.
- CVE-2026-65937Wysokie
WhatsUp Gold przed wersją 2026.0.2 zawiera podatność umożliwiającą uwierzytelnionemu atakującemu ominięcie kontroli frontendu i wstrzyknięcie trwałego skryptu (XSS).
- CVE-2023-35759Średnie
W aplikacji WhatsUp Gold przed wersją 23.0.0 występuje luka związana z SNMP, która nieprawidłowo sanitizuje złośliwe dane wejściowe. Może to umożliwić nieautoryzowanemu atakującemu wykonanie dowolnego kodu w przeglądarce ofiary, co jest znane jako XSS.
Oryginalny opis (angielski, źródło NVD)
In Progress WhatsUp Gold prior to version 21.1.0, an application endpoint failed to adequately sanitize malicious input. which could allow an unauthenticated attacker to execute arbitrary code in a victim's browser.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS