Vulnerabilidad en "Execute Program Action(s)" en el parámetro resourceid en Zoho ManageEngine Application Manager. (CVE-2019-15105)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
16/08/2019
Última modificación:
26/08/2019
Descripción
Se detectó un problema en Zoho ManageEngine Application Manager versiones hasta 14.2. Se presenta una vulnerabilidad de inyección SQL en el archivo jsp/NewThresholdConfiguration.jsp por medio del parámetro resourceid. Por lo tanto, un usuario con poca autoridad puede conseguir la autoridad de SYSTEM en el servidor. En consecuencia, se puede cargar un archivo malicioso utilizando la funcionalidad "Execute Program Action(s)".
Impacto
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA
Puntuación base 2.0
9.00
Gravedad 2.0
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:zohocorp:manageengine_applications_manager:*:*:*:*:*:*:*:* | 12.0 (incluyendo) | 14.2 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página