CVE-2020-29666

قائمة الدليل

[الوصف المقترح] في Lan ATMService M3 ATM Monitoring System 6.1.0، وبسبب ثغرة قائمة الدليل، يمكن لمهاجم عن بُعد الاطلاع على ملفات السجلات الموجودة في /websocket/logs/، والتي تحتوي على قيم ملفات تعريف الارتباط الخاصة بالمستخدم وقيمة ملف تعريف الارتباط المحددة مسبقًا للمطوّر.

[معلومات إضافية] تم إرسال رسالة إلى المورّد بشأن الثغرة.

[نوع الثغرة: أخرى] CWE-548: كشف المعلومات من خلال قائمة الدليل

[مورّد المنتج] Lan ATMService LLC (http://lanatmservice.ru/)

[قاعدة الكود للمنتج المتأثر] الإصدار المتأثر: M3 ATM Monitoring System 6.1.0. لا توجد إصدارات مصحّحة ولا أي استجابة من المطوّرين.

[المكوّن المتأثر] سوء تكوين الخادم، الذي يسمح لمهاجم عن بُعد بالاطلاع على قيمة ملف تعريف الارتباط الخاصة بالمستخدم في ملفات السجلات.

[نوع الهجوم] عن بُعد

[الأثر: كشف المعلومات] true

[نواقل الهجوم] يمكن لمهاجم عن بُعد الاطلاع على ملفات السجلات الموجودة في {HOST}/websocket/logs/، والتي تحتوي على قيم ملفات تعريف الارتباط الخاصة بالمستخدم.

[المكتشف] Dmitry Kuramin (Jet Infosystems, jet.su)

[المرجع] https://jet.su