Podatności Stimulsoft Designer
4 znanych podatności CVE w Stimulsoft Designer, przetłumaczonych i ocenionych.
- CVE-2023-25261Krytyczne
Podatność w produktach Stimuloft umożliwia zdalne wykonanie kodu. Wersje 2023.1.4 (Designer Desktop) oraz 2023.1.3 (Designer Web i Viewer Web) nie blokują dostępu do lokalnego systemu plików, co pozwala atakującemu na odczyt i zapis plików oraz katalogów. Atakujący może również przygotować raport zawierający zmienną przechowującą zebrane dane i wyrenderować go.
- CVE-2023-25260Wysokie
Podatność Local File Inclusion (LFI) w Stimulsoft Designer (Web) 2023.1.3 umożliwia atakującemu odczyt dowolnych plików z serwera. Luka wynika z nieprawidłowej walidacji ścieżek plików w aplikacji.
- CVE-2023-25262Wysokie
Stimulsoft Designer (Web) 2023.1.3 jest podatny na SSRF. Serwer wykonuje żądania do zewnętrznych źródeł danych, co może być wykorzystane do wycieku danych z wewnętrznej sieci.
- CVE-2023-25263Średnie
W programie Stimulsoft Designer (Desktop) w wersjach 2023.1.5 i 2023.1.4, po dekompilacji biblioteki Stimulsoft.report.dll, atakujący może odszyfrować dowolny connectionstring przechowywany w plikach .mrt, ponieważ używany jest statyczny sekret. Sekret ten jest identyczny we wszystkich testowanych wersjach i systemach operacyjnych.