PT-2022-18456

CVE-2022-27498

·

Publicado

2022-12-15

·

Atualizado

2022-12-19

Descrição por

CVSS 3.1
9.1
Crítica
MétricasAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Lansweeper versão 10.1.1.0
Descrição
Existe uma vulnerabilidade de traversal de diretório na funcionalidade GetTemplateAttachment da página TicketTemplateActions.aspx. Isso permite que um invasor envie uma solicitação HTTP especialmente criada, o que pode levar à leitura arbitrária de arquivos.
Recomendações
Para a versão 10.1.1.0 do Lansweeper, considere restringir o acesso à página TicketTemplateActions.aspx até que uma correção esteja disponível. Como solução alternativa temporária, evite usar a funcionalidade GetTemplateAttachment para minimizar o risco de exploração.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')
Identificadores relacionados
CVE-2022-27498
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com