CVE-2023-33730
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 63 - wyżej niż 63% wszystkich znanych CVE
Streszczenie
W funkcji 'GetUserCurrentPwd' w konsoli zarządzania eScan firmy Microworld Technologies występuje luka umożliwiająca eskalację uprawnień. Luka ta pozwala zdalnemu atakującemu na uzyskanie hasła dowolnego użytkownika (admina lub zwykłego) w formacie tekstu jawnego.
Ocena ryzyka
Organizacja jest narażona na ryzyko nieautoryzowanego dostępu do kont użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację konsoli zarządzania eScan do najnowszej wersji, aby usunąć tę lukę oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie dostępu do systemu.
Inne podatności w Microworld Technologies eScan Management Console 14.0.1400.2281
Zobacz wszystkie- CVE-2023-33731Średnie
W konsoli zarządzania eScan firmy Microworld Technologies w wersji 14.0.1400.2281 występuje podatność na odzwierciedlone ataki Cross Site Scripting (XSS) w funkcji wyświetlania szczegółów dashboardu. Umożliwia to zdalnemu atakującemu wstrzyknięcie dowolnego kodu za pomocą URL.
- CVE-2023-33732Średnie
W formularzu Nowa Polityka w konsoli zarządzania eScan firmy Microworld Technologies występuje podatność Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wstrzyknięcie dowolnego kodu poprzez podatne parametry type, txtPolicyType oraz Deletefileval.
Oryginalny opis (angielski, źródło NVD)
Privilege Escalation in the "GetUserCurrentPwd" function in Microworld Technologies eScan Management Console 14.0.1400.2281 allows any remote attacker to retrieve password of any admin or normal user in plain text format.