CVE-2023-35759
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 77 - wyżej niż 77% wszystkich znanych CVE
Streszczenie
W aplikacji WhatsUp Gold przed wersją 23.0.0 występuje luka związana z SNMP, która nieprawidłowo sanitizuje złośliwe dane wejściowe. Może to umożliwić nieautoryzowanemu atakującemu wykonanie dowolnego kodu w przeglądarce ofiary, co jest znane jako XSS.
Ocena ryzyka
Luka ta stwarza ryzyko dla organizacji, ponieważ może prowadzić do przejęcia kontroli nad sesjami użytkowników oraz kradzieży danych. Atakujący może wykorzystać tę podatność do wprowadzenia złośliwego kodu w kontekście przeglądarki ofiary.
Rekomendacja
Zaleca się aktualizację aplikacji WhatsUp Gold do wersji 23.0.0 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy ochrony przed atakami XSS.
Inne podatności w WhatsUp Gold
Zobacz wszystkie- CVE-2024-6670KrytyczneAktywnie exploitowane
W wersjach WhatsUp Gold wydanych przed 2024.0.0 podatność SQL Injection pozwala nieuwierzytelnionemu atakującemu na odzyskanie zaszyfrowanego hasła użytkownika.
- CVE-2024-4885KrytyczneAktywnie exploitowane
W WhatsUp Gold w wersjach przed 2023.1.3 występuje podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu. Funkcja WhatsUp.ExportUtilities.Export.GetFileWithoutZip pozwala na wykonanie poleceń z uprawnieniami iisapppool\nmconsole.
- CVE-2026-65941Wysokie
WhatsUp Gold przed wersją 2026.0.2 zawiera podatność umożliwiającą nieuwierzytelnionemu zdalnemu atakującemu wykonanie dowolnego kodu w kontekście konta usługi IIS.
- CVE-2026-65940Średnie
W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może zapisywać dowolne pliki w lokalizacji dostępnej przez sieć na serwerze hosta.
- CVE-2026-65939Średnie
W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może utworzyć akcję LogToFile z dowolnym rozszerzeniem pliku w katalogu głównym IIS.
- CVE-2026-65938Średnie
W wersjach WhatsUp Gold przed 2026.0.2, luka w autoryzacji w API Scheduled Reports pozwala każdemu uwierzytelnionemu użytkownikowi na wywoływanie ograniczonych akcji.
- CVE-2026-65937Wysokie
WhatsUp Gold przed wersją 2026.0.2 zawiera podatność umożliwiającą uwierzytelnionemu atakującemu ominięcie kontroli frontendu i wstrzyknięcie trwałego skryptu (XSS).
Oryginalny opis (angielski, źródło NVD)
In Progress WhatsUp Gold before 23.0.0, an SNMP-related application endpoint failed to adequately sanitize malicious input. This could allow an unauthenticated attacker to execute arbitrary code in a victim's browser, aka XSS.