CVE-2023-38956
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Podatność typu path traversal w ZKTeco BioAccess IVS v3.3.1 umożliwia nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez dostarczenie spreparowanego ładunku.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych plików systemowych, konfiguracyjnych lub danych użytkowników, co prowadzi do wycieku informacji i potencjalnej eskalacji ataku.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie ZKTeco BioAccess IVS do najnowszej wersji oraz zastosować mechanizmy walidacji ścieżek plików.
Inne podatności w ZKTeco BioAccess IVS
Zobacz wszystkie- CVE-2023-38954Krytyczne
W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto podatność na wstrzykiwanie SQL. Umożliwia ona atakującemu manipulację zapytaniami do bazy danych.
- CVE-2023-38958Średnie
W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto problem z kontrolą dostępu, który umożliwia nieuwierzytelnionym atakującym zdalne otwieranie i zamykanie drzwi zarządzanych przez platformę poprzez wysłanie spreparowanego żądania HTTP.
- CVE-2023-38955Wysokie
Podatność w ZKTeco BioAccess IVS v3.3.1 umożliwia nieuwierzytelnionym atakującym uzyskanie wrażliwych informacji o wszystkich zarządzanych urządzeniach, w tym ich adresów IP i nazw.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability in ZKTeco BioAccess IVS v3.3.1 allows unauthenticated attackers to read arbitrary files via supplying a crafted payload.