CVE-2023-37197
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W podatności CVE-2023-37197 występuje luka typu SQL Injection, która pozwala uwierzytelnionemu użytkownikowi na dostęp do nieautoryzowanych treści, zmianę lub usunięcie treści oraz wykonywanie nieautoryzowanych działań poprzez manipulację ustawieniami masowej konfiguracji punktów końcowych w DCE.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do danych oraz możliwość ich modyfikacji lub usunięcia, co może prowadzić do poważnych konsekwencji prawnych i reputacyjnych.
Rekomendacja
Zaleca się przegląd i wzmocnienie zabezpieczeń aplikacji, w tym walidację i neutralizację danych wejściowych, aby zapobiec atakom SQL Injection.
Inne podatności w DCE
Zobacz wszystkie- CVE-2023-37199Średnie
Istnieje podatność CWE-94: Niewłaściwa kontrola generacji kodu ('Wstrzyknięcie kodu'), która może prowadzić do zdalnego wykonania kodu, gdy użytkownik administracyjny w DCE manipuluje kopiami zapasowymi, które następnie są ręcznie przywracane.
- CVE-2023-37198Średnie
Występuje podatność CWE-94: Niewłaściwa kontrola generacji kodu ('Wstrzykiwanie kodu'), która może prowadzić do zdalnego wykonania kodu, gdy użytkownik z uprawnieniami administratora na DCE przesyła lub modyfikuje pakiety instalacyjne.
- CVE-2023-37196Wysokie
W podatności CVE-2023-37196 występuje luka typu SQL Injection, która pozwala uwierzytelnionemu użytkownikowi na dostęp do nieautoryzowanych treści, zmianę lub usunięcie treści oraz wykonywanie nieautoryzowanych działań poprzez manipulację ustawieniami powiadomień na DCE.
Oryginalny opis (angielski, źródło NVD)
A CWE-89: Improper Neutralization of Special Elements vulnerability used in an SQL Command ('SQL Injection') vulnerability exists that could allow a user already authenticated on DCE to access unauthorized content, change, or delete content, or perform unauthorized actions when tampering with the mass configuration settings of endpoints on DCE.