CVE-2023-53963
KrytyczneStreszczenie
SOUND4 IMPACT/FIRST/PULSE/Eco v2.x zawiera nieuwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego, która pozwala zdalnym atakującym na wykonanie dowolnych poleceń powłoki przez parametr 'password'. Atakujący mogą wykorzystać skrypty login.php i index.php, wstrzykując polecenia powłoki przez parametr POST 'password', aby wykonać polecenia z uprawnieniami serwera WWW.
Ocena ryzyka
Ryzyko dla organizacji to możliwość całkowitego przejęcia kontroli nad serwerem WWW przez nieautoryzowanego atakującego, co może prowadzić do naruszenia poufności, integralności i dostępności systemu.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania SOUND4 do najnowszej wersji, która usuwa tę podatność, oraz ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
SOUND4 IMPACT/FIRST/PULSE/Eco v2.x contains an unauthenticated OS command injection vulnerability that allows remote attackers to execute arbitrary shell commands through the 'password' parameter. Attackers can exploit the login.php and index.php scripts by injecting shell commands via the 'password' POST parameter to execute commands with web server privileges.