CVE-2023-51928
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W systemie YonBIP v3_23.05 wykryto podatność umożliwiającą dowolne przesyłanie plików w metodzie nccloud.web.arcp.taskmonitor.action.ArcpUploadAction.doAction(). Atakujący może przesłać spreparowany plik, co prowadzi do wykonania dowolnego kodu na serwerze.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem, kradzież danych lub zainstalowanie złośliwego oprogramowania bez konieczności uwierzytelniania.
Rekomendacja
Należy natychmiast zaktualizować system YonBIP do najnowszej wersji oraz wdrożyć mechanizmy walidacji typów plików i ograniczenia uprawnień dla endpointów przesyłania plików.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in the nccloud.web.arcp.taskmonitor.action.ArcpUploadAction.doAction() method of YonBIP v3_23.05 allows attackers to execute arbitrary code via uploading a crafted file.