CVE-2024-35286
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność w NuPoint Messenger (NPM) w Mitel MiCollab do wersji 9.8.0.33 pozwala nieuwierzytelnionemu atakującemu na przeprowadzenie ataku SQL injection z powodu niewystarczającego oczyszczania danych wejściowych. Udany atak może pozwolić na dostęp do poufnych informacji oraz wykonanie dowolnych operacji na bazie danych i operacji zarządzających.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych i wykonywać operacje administracyjne w bazie danych, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizować Mitel MiCollab do wersji nowszej niż 9.8.0.33. Do czasu aktualizacji ograniczyć dostęp do interfejsu NPM.
Inne podatności w Mitel MiCollab
Zobacz wszystkie- CVE-2024-55550NiskieAktywnie exploitowane
Mitel MiCollab do wersji 9.8 SP2 może pozwolić uwierzytelnionemu atakującemu z uprawnieniami administracyjnymi na odczyt lokalnych plików z powodu niewystarczającej sanityzacji wejścia. Udany exploit może pozwolić na dostęp do zasobów ograniczonych do poziomu administratora, ale ujawnienie jest ograniczone do nieistotnych informacji systemowych. Podatność nie pozwala na modyfikację plików ani eskalację uprawnień.
- CVE-2024-41713KrytyczneAktywnie exploitowane
Podatność w komponencie NuPoint Unified Messaging (NPM) w Mitel MiCollab do wersji 9.8 SP1 FP2 (9.8.1.201) umożliwia nieuwierzytelnionemu atakującemu przeprowadzenie ataku polegającego na przechodzeniu do innych katalogów (path traversal) z powodu niewystarczającej walidacji danych wejściowych. Udany atak może pozwolić na nieautoryzowany dostęp, umożliwiając przeglądanie, modyfikację lub usuwanie danych użytkowników i konfiguracji systemu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in NuPoint Messenger (NPM) of Mitel MiCollab through 9.8.0.33 allows an unauthenticated attacker to conduct a SQL injection attack due to insufficient sanitization of user input. A successful exploit could allow an attacker to access sensitive information and execute arbitrary database and management operations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS