CVE-2023-37286
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
SmartSoft SmartBPM.NET zawiera podatność związaną z używaniem zakodowanego na sztywno klucza maszyny. Nieautoryzowany zdalny atakujący może wykorzystać ten klucz do wysyłania zserializowanych ładunków do serwera w celu wykonania dowolnego kodu i zakłócenia usługi.
Ocena ryzyka
Podatność ta stwarza ryzyko wykonania dowolnego kodu przez atakującego, co może prowadzić do poważnych zakłóceń w działaniu usługi oraz potencjalnej utraty danych.
Rekomendacja
Zaleca się usunięcie zakodowanego na sztywno klucza maszyny i zastąpienie go dynamicznie generowanym kluczem, aby zminimalizować ryzyko nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
SmartSoft SmartBPM.NET has a vulnerability of using hard-coded machine key. An unauthenticated remote attacker can use the machine key to send serialized payload to the server to execute arbitrary code and disrupt service.