CVE-2023-53960
KrytyczneStreszczenie
SOUND4 IMPACT/FIRST/PULSE/Eco w wersji 2.x zawiera podatność na wstrzykiwanie SQL w mechanizmie uwierzytelniania w 'index.php', która pozwala atakującym na manipulowanie danymi logowania. Atakujący mogą wstrzyknąć złośliwy kod SQL przez parametr POST 'password', aby ominąć uwierzytelnianie i potencjalnie uzyskać nieautoryzowany dostęp do systemu.
Ocena ryzyka
Ryzyko dla organizacji to możliwość nieautoryzowanego dostępu do systemu, co może prowadzić do naruszenia danych, zmiany konfiguracji lub przejęcia kontroli nad urządzeniem.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania SOUND4 do wersji, która eliminuje podatność na wstrzykiwanie SQL, oraz stosowanie silnych, unikalnych haseł i ograniczenie dostępu do interfejsu zarządzania.
Inne podatności w SOUND4
Zobacz wszystkie- CVE-2022-50794Krytyczne
SOUND4 IMPACT/FIRST/PULSE/Eco w wersjach 2.x i starszych zawiera podatność na wstrzykiwanie poleceń bez uwierzytelnienia w parametrze username. Atakujący mogą wykorzystać skrypty index.php i login.php, wstrzykując dowolne polecenia powłoki przez parametr HTTP POST 'username' w celu wykonania poleceń systemowych.
- CVE-2022-50696Krytyczne
SOUND4 IMPACT/FIRST/PULSE/Eco w wersjach 2.x i starszych zawiera zakodowane na stałe poświadczenia w binariach serwera, których nie można zmienić w normalnej eksploatacji urządzenia. Atakujący mogą wykorzystać te statyczne poświadczenia do uzyskania nieautoryzowanego dostępu do urządzenia w systemach Linux i Windows bez interakcji użytkownika.
- CVE-2022-50694Krytyczne
SOUND4 IMPACT/FIRST/PULSE/Eco w wersji 2.x i starszych zawiera podatność na wstrzykiwanie SQL w parametrze POST 'username' w index.php, co pozwala atakującym manipulować zapytaniami do bazy danych. Atakujący mogą wstrzykiwać dowolny kod SQL przez parametr username, aby ominąć uwierzytelnianie i potencjalnie uzyskać dostęp do nieautoryzowanych informacji w bazie danych.
- CVE-2023-53963Krytyczne
SOUND4 IMPACT/FIRST/PULSE/Eco v2.x zawiera nieuwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala zdalnym atakującym na wykonanie dowolnych poleceń powłoki przez parametr 'password'. Atakujący mogą wykorzystać skrypty login.php i index.php, wstrzykując polecenia powłoki przez parametr POST 'password', aby wykonać polecenia z uprawnieniami serwera WWW.
- CVE-2023-53955Krytyczne
SOUND4 IMPACT/FIRST/PULSE/Eco v2.x zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu, która pozwala atakującym na ominięcie autoryzacji i dostęp do ukrytych zasobów systemowych. Atakujący mogą wykorzystać tę podatność, manipulując danymi wejściowymi użytkownika, aby wykonać uprzywilejowane funkcje bez odpowiedniego uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
SOUND4 IMPACT/FIRST/PULSE/Eco version 2.x contains an SQL injection vulnerability in the 'index.php' authentication mechanism that allows attackers to manipulate login credentials. Attackers can inject malicious SQL code through the 'password' POST parameter to bypass authentication and potentially gain unauthorized access to the system.