Vulnerabilidad en SmarterTools SmarterStats (CVE-2011-2148)

Gravedad CVSS v2.0:

ALTA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

20/05/2011

Última modificación:

11/04/2025

Descripción

Admin / frmSite.aspx en el servidor web SmarterTools SmarterStats v6.0 permite a atacantes remotos ejecutar código de su elección a través de vectores que implican a caracteres & (ampersand) iniciales y finales, y (1) una cookie STTTState, (2) el parámetro ctl00%24MPH%24txtAdminNewPassword_SettingText, (3) el parámetro ctl00%24MPH%24txtSmarterLogDirectory, (4) el parámetro ctl00%24MPH%24ucSiteSeoSearchEngineSettings%24chklistEngines_SettingCheckBox%2414, (5) el parámetro ctl00%24MPH%24ucSiteSeoSettings%24txtSeoMaxKeywords_SettingText, o (6) el parámetro ctl00_MPH_grdLogLocations_HiddenLSR, relacionado con un fallo "OS command injection".

Impacto

Vector 2.0

AV:N/AC:L/Au:N/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 10.00 ALTA
Vector: AV:N/AC:L/Au:N/C:C/I:C/A:C

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo