CVE-2017-7852
كاميرات D-Link DCS تحتوي على ملف CrossDomain.XML ضعيف/غير آمن يسمح للمواقع التي تستضيف كائنات Flash خبيثة بالوصول إلى إعدادات الجهاز و/أو تغييرها عبر هجوم...
- تم النشر
- 24/04/2017
- محدث
- 05/08/2024
- تخصيص CNA
- mitre
- الأدلة المرصودة
- 22/02/2017
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 90.9%
- تاريخ الموديل
- 11/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
كاميرات D-Link DCS تحتوي على ملف CrossDomain.XML ضعيف/غير آمن يسمح للمواقع التي تستضيف كائنات Flash خبيثة بالوصول إلى إعدادات الجهاز و/أو تغييرها عبر هجوم CSRF. ويعود السبب في ذلك إلى العنصر الفرعي 'allow-access-from domain' المضبوط على القيمة *، مما يعني قبول الطلبات من أي نطاق. إذا قام ضحية مسجّل الدخول إلى لوحة التحكم عبر الويب للكاميرا بزيارة موقع خبيث يستضيف ملف Flash خبيث من علامة تبويب أخرى في المتصفح، فإن ملف Flash الخبيث عندها يمكنه إرسال طلبات إلى كاميرا الضحية من سلسلة DCS دون معرفة بيانات الاعتماد. يمكن للمهاجم استضافة ملف Flash خبيث قادر على استرجاع البث المباشر أو المعلومات من كاميرا الضحية من سلسلة DCS، أو إضافة مستخدمين جدد بصلاحيات المسؤول، أو إجراء تغييرات أخرى على الجهاز. الأجهزة المعروفة المتأثرة هي DCS-933L مع البرنامج الثابت قبل الإصدار 1.13.05، وDCS-5030L، وDCS-5020L، وDCS-2530L، وDCS-2630L، وDCS-930L، وDCS-932L، وDCS-932LB1.
المصادر
SlidingWindow · hardware · 22/02/2017
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.