CVE-2023-23327
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W AvantFAX 3.3.7 wykryto podatność na ujawnienie informacji. Kopie zapasowe wysłanych/odebranych faksów oraz bazy danych są przechowywane z bieżącą datą jako nazwą pliku i hostowane na serwerze WWW bez kontroli dostępu.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych faksów i kopii zapasowych bazy danych, co prowadzi do wycieku informacji biznesowych lub danych osobowych.
Rekomendacja
Zaleca się natychmiastową aktualizację AvantFAX do najnowszej wersji oraz skonfigurowanie odpowiednich mechanizmów kontroli dostępu do katalogów z kopiami zapasowymi.
Inne podatności w AvantFAX
Zobacz wszystkie- CVE-2023-23328Wysokie
Podatność umożliwia uwierzytelnionemu użytkownikowi ominięcie walidacji typu pliku PHP w skrypcie FileUpload.php poprzez przesłanie specjalnie spreparowanego pliku PHP. Luka występuje w systemie AvantFAX w wersji 3.3.7.
- CVE-2023-23326Średnie
W AvantFAX 3.3.7 wykryto podatność na trwałe XSS. Uwierzytelniony użytkownik o niskich uprawnieniach może wstrzyknąć dowolny kod JavaScript do swojego adresu e-mail, który zostanie wykonany, gdy administrator zaloguje się do AvantFAX i wyświetli panel administracyjny.
Oryginalny opis (angielski, źródło NVD)
An Information Disclosure vulnerability exists in AvantFAX 3.3.7. Backups of the AvantFAX sent/received faxes, and database backups are stored using the current date as the filename and hosted on the web server without access controls.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS