Múltiples vulnerabilidades en Lansweeper
Fecha de publicación 01/03/2022
Importancia
5 - Crítica
Recursos Afectados
Lansweeper 9.1.20.2.
Descripción
Marcin "Icewall" Noga, investigador de Cisco Talos, ha reportado 4 vulnerabilidades en la solución de gestión de activos informáticos Lansweeper, 3 de severidad crítica y 1 medio, cuya explotación podría permitir a un atacante realizar inyecciones SQL e inyección arbitraria de código Javascript.
Solución
El proveedor ha parcheado las vulnerabilidades.
Detalle
Las vulnerabilidades críticas se describen a continuación:
- Vulnerabilidad de inyección SQL en la funcionalidad HelpdeskEmailActions.aspx, relacionada con la acción Configuration -> General Settings y está localizada en el archivo \LS\CF\HelpdeskSetupActions.cs. Se ha asignado el identificador CVE-2022-22149 para esta vulnerabilidad.
- Vulnerabilidad de XSS en la funcionalidad WebUserActions.aspx, relacionada con la acción Configuration -> Website Settings y está localizada en el archivo \LS\CF\WebUserActions.cs. Se ha asignado el identificador CVE-2022-21145 para esta vulnerabilidad.
- Vulnerabilidad de inyección SQL en la funcionalidad EchoAssets.aspx, relacionada con un parámetro order enviado al script /Scanning/Echo/EchoAssets.aspx. Se ha asignado el identificador CVE-2022-21234 para esta vulnerabilidad.
La vulnerabilidad de severidad media tiene asignado el identificador CVE-2022-21210.
Listado de referencias
Etiquetas