Podatności ACEweb Online Portal
5 znanych podatności CVE w ACEweb Online Portal, przetłumaczonych i ocenionych.
- CVE-2022-24240Krytyczne
W ACEweb Online Portal 3.5.065 wykryto podatność na wstrzykiwanie SQL przez parametr 'criteria' w skrypcie showschedule.awp. Atakujący może manipulować zapytaniami do bazy danych, co może prowadzić do nieautoryzowanego dostępu do danych.
- CVE-2022-24239Krytyczne
W ACEweb Online Portal 3.5.065 odkryto podatność nieograniczonego przesyłania plików przez attachments.awp. Umożliwia to atakującemu wgranie dowolnego pliku na serwer.
- CVE-2022-24581Wysokie
Podatność w ACEweb Online Portal 3.5.065 umożliwia nieuwierzytelnionemu atakującemu przechwycenie hasha SMB poprzez podanie zewnętrznej ścieżki UNC podczas przesyłania pliku. Atakujący może nakłonić serwer ofiary do ujawnienia nazwy użytkownika i hasha hasła osoby uruchamiającej oprogramowanie ACEweb Online.
- CVE-2022-24241Wysokie
W ACEweb Online Portal 3.5.065 wykryto podatność polegającą na zewnętrznie kontrolowanej ścieżce i nazwie pliku. Luka występuje przez parametr txtFilePath w skrypcie attachments.awp.
- CVE-2022-24238Średnie
W ACEweb Online Portal 3.5.065 odkryto podatność na atak XSS (Cross-Site Scripting) poprzez parametr txtNmName1 w skrypcie person.awp. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.