CVE-2021-46354
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
Podatność ujawniania informacji w Thinfinity VirtualUI 2.1.28.0, 2.1.32.1 i 2.5.26.2 (naprawiona w wersji 3.0) występuje w parametrze "Addr" w cmd site. Pozwala ona na wysyłanie żądań do innych systemów, co może ujawnić rzeczywisty adres IP serwera WWW lub zwiększyć powierzchnię ataku.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia prawdziwego adresu IP serwera WWW, co może ułatwić ataki ukierunkowane lub zwiększyć powierzchnię ataku poprzez wykorzystanie serwera do wysyłania żądań do innych systemów.
Rekomendacja
Zaleca się natychmiastową aktualizację Thinfinity VirtualUI do wersji 3.0 lub nowszej, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
Thinfinity VirtualUI 2.1.28.0, 2.1.32.1 and 2.5.26.2, fixed in version 3.0 is affected by an information disclosure vulnerability in the parameter "Addr" in cmd site. The ability to send requests to other systems can allow the vulnerable server to filtrate the real IP of the web server or increase the attack surface.