CVE-2022-28810
मध्यमप्रकाशित
Zoho ManageEngine ADSelfService Plus रिमोट कोड निष्पादन भेद्यता
- प्रकाशित
- 18 अप्रैल 2022
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 7 मार्च 2023
प्राथमिक सीवीएसएस
6.8/ 10मध्यम
Zoho ManageEngine ADSelfService Plus रिमोट कोड निष्पादन भेद्यता
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
Zoho ManageEngine ADSelfService Plus बिल्ड 6122 से पहले एक रिमोट प्रमाणित व्यवस्थापक (remote authenticated administrator) को पॉलिसी कस्टम स्क्रिप्ट सुविधा के माध्यम से SYSTEM के रूप में मनमाने ऑपरेटिंग OS कमांड निष्पादित करने की अनुमति देता है। डिफ़ॉल्ट व्यवस्थापक पासवर्ड के उपयोग के कारण, हमलावर न्यूनतम प्रयास के साथ इस कार्यक्षमता का दुरुपयोग करने में सक्षम हो सकते हैं। इसके अतिरिक्त, एक रिमोट और आंशिक रूप से प्रमाणित हमलावर, एक अनसैनिटाइज़्ड पासवर्ड फ़ील्ड के कारण कस्टम स्क्रिप्ट में मनमाने कमांड इंजेक्ट करने में सक्षम हो सकता है।
modules/exploits/windows/http/manageengine_adselfservice_plus_cve_2022_28810.rb
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।