CVE-2022-28810
Vulnerabilidade de Execução Remota de Código no Zoho ManageEngine ADSelfService Plus
- Publicado
- 18 de abr. de 2022
- Atualizado
- 21 de out. de 2025
- Atribuindo CNA
- mitre
- Evidência observada
- 7 de mar. de 2023
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:HAlto · próximos 30 dias
- Percentil
- 99,4%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
CISA conhecido explorado
Este CVE aparece no catálogo CISA Known Exploited Vulnerabilities.
Resumo
Zoho ManageEngine ADSelfService Plus anterior ao build 6122 permite que um administrador remoto autenticado execute comandos arbitrários do sistema operacional como SYSTEM por meio do recurso de script personalizado de política. Devido ao uso de uma senha de administrador padrão, os atacantes podem abusar dessa funcionalidade com esforço mínimo. Além disso, um atacante remoto e parcialmente autenticado pode ser capaz de injetar comandos arbitrários no script personalizado devido a um campo de senha não sanitizado.
Fontes
modules/exploits/windows/http/manageengine_adselfservice_plus_cve_2022_28810.rb
Metasploit Framework modulesCondições declaradas
- platform: Windows($.exploit_windows/http/manageengine_adselfservice_plus_cve_2022_28810.platform)
- verification: check_declared($.exploit_windows/http/manageengine_adselfservice_plus_cve_2022_28810.check)
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.