CVE-2023-38029
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Urządzenia do rejestracji obecności Saho, ADM100 i ADM-100FP, mają niewystarczające filtrowanie dla znaków specjalnych oraz typów plików w funkcji przesyłania plików. Umożliwia to nieautoryzowanemu zdalnemu atakującemu przesyłanie i wykonywanie dowolnych plików, co może prowadzić do wykonania dowolnych poleceń systemowych lub zakłócenia działania usługi.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania nieautoryzowanych poleceń, co może prowadzić do poważnych zakłóceń w działaniu systemu oraz potencjalnej utraty danych.
Rekomendacja
Zaleca się wdrożenie odpowiednich filtrów dla przesyłanych plików oraz ograniczenie dostępu do funkcji przesyłania plików tylko dla autoryzowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Saho’s attendance devices ADM100 and ADM-100FP has insufficient filtering for special characters and file type within their file uploading function. A unauthenticate remote attacker authenticated can upload and execute arbitrary files to perform arbitrary system commands or disrupt service.