CVE-2023-38954
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto podatność na wstrzykiwanie SQL. Umożliwia ona atakującemu manipulację zapytaniami do bazy danych.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do wrażliwych danych, ich modyfikację lub usunięcie, co może prowadzić do naruszenia integralności systemu kontroli dostępu.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie do najnowszej wersji oraz zastosować parametryzację zapytań SQL w celu wyeliminowania podatności.
Inne podatności w ZKTeco BioAccess IVS
Zobacz wszystkie- CVE-2023-38958Średnie
W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto problem z kontrolą dostępu, który umożliwia nieuwierzytelnionym atakującym zdalne otwieranie i zamykanie drzwi zarządzanych przez platformę poprzez wysłanie spreparowanego żądania HTTP.
- CVE-2023-38956Wysokie
Podatność typu path traversal w ZKTeco BioAccess IVS v3.3.1 umożliwia nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez dostarczenie spreparowanego ładunku.
- CVE-2023-38955Wysokie
Podatność w ZKTeco BioAccess IVS v3.3.1 umożliwia nieuwierzytelnionym atakującym uzyskanie wrażliwych informacji o wszystkich zarządzanych urządzeniach, w tym ich adresów IP i nazw.
Oryginalny opis (angielski, źródło NVD)
ZKTeco BioAccess IVS v3.3.1 was discovered to contain a SQL injection vulnerability.