CVE-2023-39809
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W oprogramowaniu iBSG v3.5 firmy N.V.K.INTER CO., LTD. (NVK) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Luka występuje w parametrze system_hostname w skrypcie /manage/network-basic.php, gdzie możliwe jest użycie znaków specjalnych powłoki.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na serwerze, co prowadzi do pełnego przejęcia kontroli nad urządzeniem, kradzieży danych lub zakłócenia działania sieci.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie iBSG do najnowszej wersji oraz zastosować filtrowanie wejścia dla parametru system_hostname, uniemożliwiając przekazywanie znaków specjalnych powłoki.
Oryginalny opis (angielski, źródło NVD)
N.V.K.INTER CO., LTD. (NVK) iBSG v3.5 was discovered to contain an OS command injection vulnerability via shell metacharacters in the system_hostname parameter at /manage/network-basic.php.