Podatność CVE-2014-2987

Podatność CVE-2014-2987

Publikacja: 2014-10-26

Opis:

Multiple cross-site request forgery (CSRF) vulnerabilities in EGroupware Enterprise Line (EPL) before 1.1.20140505, EGroupware Community Edition before 1.8.007.20140506, and EGroupware before 14.1 beta allow remote attackers to hijack the authentication of administrators for requests that (1) create an administrator user via an admin.uiaccounts.add_user action to index.php or (2) modify settings via the newsettings parameter in an admin.uiconfig.index action to index.php. NOTE: vector 2 can be used to execute arbitrary PHP code by leveraging CVE-2014-2988.

W naszej bazie, znaleźliśmy następujące noty dla tego CVE:

	Tytuł	Autor	Data
High	EGroupware 1.8.006 Cross Site Request Forgery / Code Injection	High-Tech Bridge...	16.05.2014

Typ:

CWE-352

(Cross-Site Request Forgery (CSRF))

CVSS2 => (AV:N/AC:M/Au:N/C:P/I:P/A:P)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
6.8/10	6.4/10	8.6/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Średnia	Nie wymagana
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Częściowy	Częściowy	Częściowy

Affected software
Egroupware -> Egroupware

Referencje:

http://advisories.mageia.org/MGASA-2014-0221.html

http://www.egroupware.org/changelog

http://www.egroupware.org/forum#nabble-td3997580

http://www.mandriva.com/security/advisories?name=MDVSA-2015:087

http://www.securityfocus.com/archive/1/532103/100/0/threaded

https://www.htbridge.com/advisory/HTB23212

Copyright 2024, cxsecurity.com