CVE-2023-43234
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
W DedeBIZ v6.2.11 odkryto wiele podatności zdalnego wykonania kodu (RCE) w pliku /admin/file_manage_control.php poprzez parametry $activepath i $filename.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia kontroli nad systemem, kradzieży danych lub zakłócenia działania usług.
Rekomendacja
Należy natychmiast zaktualizować DedeBIZ do najnowszej dostępnej wersji oraz ograniczyć dostęp do panelu administracyjnego tylko dla zaufanych adresów IP.
Inne podatności w DedeBIZ
Zobacz wszystkie- CVE-2023-43232Średnie
W DedeBIZ v6.2.11 odkryto podatność na trwały atak XSS w funkcji zarządzania kolumnami strony. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu, co prowadzi do wykonania skryptów w przeglądarce ofiary.
- CVE-2023-3839Średnie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która pozwala na wstrzyknięcie SQL poprzez manipulację argumentem sqlquery w pliku /admin/sys_sql_query.php. Atak może być przeprowadzony zdalnie, a jego złożoność jest stosunkowo wysoka.
- CVE-2023-3837Niskie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację w nieznanej funkcji pliku /admin/sys_sql_query.php. Atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
DedeBIZ v6.2.11 was discovered to contain multiple remote code execution (RCE) vulnerabilities at /admin/file_manage_control.php via the $activepath and $filename parameters.