CVE-2022-26645
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
Podatność zdalnego wykonania kodu (RCE) w systemie Online Banking System Protect v1.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PHP za pomocą funkcji Upload Image.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, uzyskać dostęp do wrażliwych danych bankowych i przeprowadzić dalsze ataki na infrastrukturę organizacji.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą, a także wdrożyć walidację typów plików i ograniczenia wykonywania skryptów w katalogu uploadów.
Inne podatności w Online Banking System Protect
Zobacz wszystkie- CVE-2022-26646Krytyczne
Online Banking System Protect v1.0 zawiera podatność na lokalne dołączanie plików (LFI) poprzez parametr pages. Umożliwia to atakującemu odczyt wrażliwych plików na serwerze.
- CVE-2022-26644Średnie
W systemie Online Banking System Protect v1.0 odkryto wiele podatności na ataki typu cross-site scripting (XSS). Podatności te występują w parametrach związanych z profilem użytkownika, informacjami systemowymi oraz zarządzaniem kontami.
Oryginalny opis (angielski, źródło NVD)
A remote code execution (RCE) vulnerability in Online Banking System Protect v1.0 allows attackers to execute arbitrary code via a crafted PHP file uploaded through the Upload Image function.