CVE-2023-3527
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W aplikacji internetowej Avaya Call Management System (CMS) Supervisor odkryto podatność na wstrzykiwanie CSV, która pozwala użytkownikowi z uprawnieniami administracyjnymi na wprowadzenie spreparowanych danych. Po wyeksportowaniu do pliku CSV, dane te mogą próbować wykonać dowolne polecenia na systemie używanym do otwarcia pliku przez oprogramowanie arkusza kalkulacyjnego, takie jak Microsoft Excel.
Ocena ryzyka
Podatność ta stwarza ryzyko wykonania nieautoryzowanych poleceń na systemach użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa danych i systemów organizacji.
Rekomendacja
Zaleca się ograniczenie dostępu do funkcji eksportu CSV tylko dla zaufanych użytkowników oraz wdrożenie filtrów walidacji danych wprowadzanych przez administratorów.
Oryginalny opis (angielski, źródło NVD)
A CSV injection vulnerability was found in the Avaya Call Management System (CMS) Supervisor web application which allows a user with administrative privileges to input crafted data which, when exported to a CSV file, may attempt arbitrary command execution on the system used to open the file by a spreadsheet software such as Microsoft Excel.