CVE-2019-19774
تم اكتشاف ثغرة في Zoho ManageEngine EventLog Analyzer 10.0 SP1 قبل Build 12110. من خلال تشغيل "select hostdetails from hostdetails" في نقطة النهاية...
- تم النشر
- 13/12/2019
- محدث
- 05/08/2024
- تخصيص CNA
- mitre
- الأدلة المرصودة
- 24/02/2020
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hمتوسط · الثلاثين يومًا القادمة
- المئوية
- 96.2%
- تاريخ الموديل
- 18/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
تم اكتشاف ثغرة في Zoho ManageEngine EventLog Analyzer 10.0 SP1 قبل Build 12110. من خلال تشغيل "select hostdetails from hostdetails" في نقطة النهاية /event/runquery.do، يمكن تجاوز قيود الأمان التي تمنع حتى المستخدمين الإداريين من عرض بيانات الاعتماد المخزنة في قاعدة البيانات، واستعادة تجزئات MD5 للحسابات المستخدمة لمصادقة منصة ManageEngine على الأجهزة المُدارة على الشبكة (وغالبًا ما تكون حسابات إدارية). على وجه التحديد، يتجاوز هذا القيدين التاليين: لا يمكن للاستعلام أن يذكر password، ولا يمكن أن تحتوي نتيجة الاستعلام على عمود password.
المصادر
Scott Goodwin · java · 24/02/2020
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.