CVE-2018-10197
Kritik
Açıklama
ELO ELOenterprise 9 ve 10 ile ELOprofessional 9 ve 10'daki 9.18.040 öncesi ve 10.x 10.18.040 öncesi Access Manager bileşeninde, tüm veritabanı içeriğinin okunmasını mümkün kılan zaman tabanlı kör bir SQL injection zafiyeti bulunmaktadır. Zafiyet, ticket HTTP GET parametresinde yer almaktadır. Örneğin, "eloam" veritabanındaki "userdata" tablosundan yönetici kullanıcısının parola özeti başarıyla okunabilir.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünElo Access Manager
Yayın11 Tem 2018
İlk görülme11 Tem 2018
Nasıl düzeltilir
Güncelleyin
- elo access_manager9.18.040, 10.18.040 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| elo access_manager | v < 9.18.040, 10.0.0 < v < 10.18.040 | 9.18.040, 10.18.040 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.