CVE-2023-51926
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W systemie YonBIP v3_23.05 wykryto podatność umożliwiającą dowolny odczyt plików przez komponent nc.bs.framework.comn.serv.CommonServletDispatcher. Atakujący może wykorzystać tę lukę do odczytu wrażliwych danych z serwera.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do poufnych plików konfiguracyjnych, danych użytkowników lub innych zasobów systemowych, co może prowadzić do wycieku informacji i naruszenia bezpieczeństwa organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu YonBIP do najnowszej wersji łatającej tę podatność oraz ograniczenie dostępu do komponentu CommonServletDispatcher tylko dla zaufanych sieci.
Inne podatności w YonBIP
Zobacz wszystkie- CVE-2023-51925Krytyczne
W systemie YonBIP v3_23.05 wykryto podatność polegającą na dowolnym przesyłaniu plików w metodzie nccloud.web.arcp.taskmonitor.action.ArcpUploadAction.doAction(). Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.
- CVE-2023-51924Krytyczne
Podatność umożliwiająca dowolne wgrywanie plików w interfejsie uap.framework.rc.itf.IResourceManager systemu YonBIP v3_23.05. Atakujący może przesłać spreparowany plik, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2023-51906Krytyczne
W oprogramowaniu YonBIP w wersji v3_23.05 firmy Yonyou wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt wysłany do komponentu ServiceDispatcherServlet uap.framework.rc.itf.IResourceManager.
- CVE-2023-51928Krytyczne
W systemie YonBIP v3_23.05 wykryto podatność umożliwiającą dowolne przesyłanie plików w metodzie nccloud.web.arcp.taskmonitor.action.ArcpUploadAction.doAction(). Atakujący może przesłać spreparowany plik, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2023-51927Krytyczne
W systemie YonBIP v3_23.05 wykryto podatność na wstrzykiwanie SQL w metodzie runScript() kontrolera AttendScriptController. Atakujący może wykorzystać ten błąd do wykonania dowolnych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
YonBIP v3_23.05 was discovered to contain an arbitrary file read vulnerability via the nc.bs.framework.comn.serv.CommonServletDispatcher component.