CVE-2023-4120
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
W platformie zarządzania Byzoro Smart S85F do wersji 20230722 zidentyfikowano krytyczną podatność. Problem dotyczy nieznanego przetwarzania pliku importhtml.php, gdzie manipulacja argumentem sql prowadzi do wstrzyknięcia poleceń.
Ocena ryzyka
Atakujący może zdalnie wykorzystać tę podatność, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się aktualizację platformy do najnowszej wersji oraz monitorowanie systemu pod kątem nieautoryzowanych działań.
Inne podatności w Byzoro Smart S85F Management Platform
Zobacz wszystkie- CVE-2023-4414Średnie
W platformie zarządzania Byzoro Smart S85F do wersji 20230807 zidentyfikowano krytyczną podatność. Manipulacja argumentem w pliku /log/decodmail.php prowadzi do wstrzyknięcia poleceń, co umożliwia zdalne przeprowadzenie ataku.
- CVE-2023-4739Średnie
W platformie zarządzania Byzoro Smart S85F do wersji 20230820 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /sysmanage/updateos.php, która umożliwia nieograniczone przesyłanie plików poprzez manipulację argumentem 1_file_upload.
- CVE-2023-4544Średnie
Wykryto podatność w platformie zarządzania Byzoro Smart S85F do wersji 20230809, która została oceniona jako problematyczna. Problem dotyczy nieznanego przetwarzania pliku /config/php.ini, co prowadzi do bezpośredniego żądania.
- CVE-2023-4121Średnie
W platformie zarządzania Byzoro Smart S85F do wersji 20230722 zidentyfikowano krytyczną podatność. Manipulacja argumentem file_upload prowadzi do nieograniczonego przesyłania plików, co umożliwia zdalne przeprowadzenie ataku.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Byzoro Smart S85F Management Platform up to 20230722 and classified as critical. This issue affects some unknown processing of the file importhtml.php. The manipulation of the argument sql leads to command injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-235967. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.