CVE-2019-12725
Zeroshell 3.9.0 दूरस्थ कमांड निष्पादन (remote command execution) भेद्यता से ग्रस्त है। विशेष रूप से, यह समस्या इसलिए उत्पन्न होती है क्योंकि वेब अनुप्रयोग कुछ HTTP पैरामीटरों को सही ढंग से संभाल नहीं पाता है। एक अनधिकृत...
- प्रकाशित
- 19 जुल॰ 2019
- अद्यतन
- 4 अग॰ 2024
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 24 नव॰ 2020
प्राथमिक सीवीएसएस
nvd · CVSS 2.0
AV:N/AC:L/Au:N/C:C/I:C/A:Cउच्च · अगले 30 दिन
- प्रतिशत
- 99.8%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Zeroshell 3.9.0 दूरस्थ कमांड निष्पादन (remote command execution) भेद्यता से ग्रस्त है। विशेष रूप से, यह समस्या इसलिए उत्पन्न होती है क्योंकि वेब अनुप्रयोग कुछ HTTP पैरामीटरों को सही ढंग से संभाल नहीं पाता है। एक अनधिकृत (unauthenticated) हमलावर संवेदनशील पैरामीटरों के भीतर OS कमांड इंजेक्ट करके इस समस्या का शोषण कर सकता है।
स्रोत
http/cves/2019/CVE-2019-12725.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: regex,status($.matchers[*].type)
- CVE-2019-12725-Command-Injectionएक्सप्लॉइट
ZeroShell 3.9.0 में गलत तरीके से संभाले गए HTTP पैरामीटर के माध्यम से दूरस्थ कमांड इंजेक्शन के लिए Python-आधारित प्रूफ-ऑफ-कॉन्सेप्ट शोषण, अनप्रमाणित OS कमांड निष्पादन सक्षम करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।