Vulnerabilidad en Zoho ManageEngine Applications Manager (CVE-2019-11448)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
22/04/2019
Última modificación:
06/05/2019
Descripción
Se ha descubierto un problema en Zoho ManageEngine Applications Manager 11.0 hasta 14.0. Un usuario no autenticado puede obtener la autoridad de SYSTEM en el servidor debido a una vulnerabilidad SQL injection en Popup_SLA.jsp. Por ejemplo, el atacante puede escribir posteriormente texto arbitrario en un archivo.vbs.
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
10.00
Gravedad 2.0
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:zohocorp:manageengine_applications_manager:*:*:*:*:*:*:*:* | 11.0 (incluyendo) | 14.0 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página