CVE-2024-12108
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
W wersjach WhatsUp Gold wydanych przed 2024.0.2 atakujący może uzyskać dostęp do serwera WhatsUp Gold poprzez publiczne API.
Ocena ryzyka
Nieautoryzowany dostęp do serwera monitoringu może pozwolić na kradzież danych, modyfikację konfiguracji lub dalsze wykorzystanie przejętego systemu.
Rekomendacja
Zaktualizuj WhatsUp Gold do wersji 2024.0.2 lub nowszej oraz ogranicz dostęp do publicznego API.
Inne podatności w WhatsUp Gold
Zobacz wszystkie- CVE-2024-6671Krytyczne
W wersjach WhatsUp Gold przed 2024.0.0, jeśli aplikacja jest skonfigurowana z tylko jednym użytkownikiem, podatność SQL Injection pozwala nieuwierzytelnionemu atakującemu na odzyskanie zaszyfrowanego hasła użytkownika.
- CVE-2024-6670KrytyczneAktywnie exploitowane
W wersjach WhatsUp Gold wydanych przed 2024.0.0 podatność SQL Injection pozwala nieuwierzytelnionemu atakującemu na odzyskanie zaszyfrowanego hasła użytkownika.
- CVE-2024-4885KrytyczneAktywnie exploitowane
W WhatsUp Gold w wersjach przed 2023.1.3 występuje podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu. Funkcja WhatsUp.ExportUtilities.Export.GetFileWithoutZip pozwala na wykonanie poleceń z uprawnieniami iisapppool\nmconsole.
- CVE-2021-41318Średnie
W Progress WhatsUp Gold przed wersją 21.1.0 punkt końcowy aplikacji nie filtrował odpowiednio złośliwych danych wejściowych, co mogło pozwolić nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu w przeglądarce ofiary.
- CVE-2026-65941Wysokie
WhatsUp Gold przed wersją 2026.0.2 zawiera podatność umożliwiającą nieuwierzytelnionemu zdalnemu atakującemu wykonanie dowolnego kodu w kontekście konta usługi IIS.
- CVE-2026-65940Średnie
W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może zapisywać dowolne pliki w lokalizacji dostępnej przez sieć na serwerze hosta.
- CVE-2026-65939Średnie
W wersjach WhatsUp Gold przed 2026.0.2, uprzywilejowany atakujący może utworzyć akcję LogToFile z dowolnym rozszerzeniem pliku w katalogu głównym IIS.
- CVE-2026-65938Średnie
W wersjach WhatsUp Gold przed 2026.0.2, luka w autoryzacji w API Scheduled Reports pozwala każdemu uwierzytelnionemu użytkownikowi na wywoływanie ograniczonych akcji.
- CVE-2026-65937Wysokie
WhatsUp Gold przed wersją 2026.0.2 zawiera podatność umożliwiającą uwierzytelnionemu atakującemu ominięcie kontroli frontendu i wstrzyknięcie trwałego skryptu (XSS).
- CVE-2023-35759Średnie
W aplikacji WhatsUp Gold przed wersją 23.0.0 występuje luka związana z SNMP, która nieprawidłowo sanitizuje złośliwe dane wejściowe. Może to umożliwić nieautoryzowanemu atakującemu wykonanie dowolnego kodu w przeglądarce ofiary, co jest znane jako XSS.
Oryginalny opis (angielski, źródło NVD)
In WhatsUp Gold versions released before 2024.0.2, an attacker can gain access to the WhatsUp Gold server via the public API.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS