Vulnerabilidad en las peticiones POST de HTTP en los teléfonos Yealink. (CVE-2019-14656)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-434
Subida sin restricciones de ficheros de tipos peligrosos
Fecha de publicación:
08/10/2019
Última modificación:
17/10/2019
Descripción
Los teléfonos Yealink hasta el 04-08-2019, no comprueban apropiadamente los roles de los usuarios en las peticiones POST. En consecuencia, la cuenta User predeterminada (con una contraseña de usuario) puede realizar peticiones de administrador por medio de HTTP.
Impacto
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA
Puntuación base 2.0
9.00
Gravedad 2.0
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:o:yeahlink:vp59_firmware:*:*:*:*:*:*:*:* | 2019-08-04 (incluyendo) | |
| cpe:2.3:h:yeahlink:vp59:-:*:*:*:*:*:*:* | ||
| cpe:2.3:o:yeahlink:t49g_firmware:*:*:*:*:*:*:*:* | 2019-08-04 (incluyendo) | |
| cpe:2.3:h:yeahlink:t49g:-:*:*:*:*:*:*:* | ||
| cpe:2.3:o:yeahlink:t58v_firmware:*:*:*:*:*:*:*:* | 2019-08-04 (incluyendo) | |
| cpe:2.3:h:yeahlink:t58v:-:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página



