CVE-2022-28810

中已发布

Zoho ManageEngine ADSelfService Plus 远程代码执行漏洞

已发布: 2022年4月18日
已更新: 2025年10月21日
分配 CNA: mitre
观察到的证据: 2023年3月7日

初级CVSS

6.8/ 10中

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H

EPSS概率估计

71.0%

高 · 未来 30 天

百分位: 99.4%
型号日期: 2026年10月15日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

CISA 已知被利用

此 CVE 出现在 CISA 已知利用的漏洞目录中。

总结

Zoho ManageEngine ADSelfService Plus 在 build 6122 之前的版本允许远程已认证管理员通过策略自定义脚本功能以 SYSTEM 权限执行任意操作系统命令。由于使用了默认管理员密码，攻击者可能只需极少的操作即可滥用此功能。此外，远程且部分认证的攻击者可能能够因未净化的密码字段而将任意命令注入自定义脚本。

来源

仓库证据: 文件：1 · 仓库：1

1 模块

ManageEngine ADSelfService Plus Custom Script Execution模块
modules/exploits/windows/http/manageengine_adselfservice_plus_cve_2022_28810.rb
Metasploit Framework modules
漏洞利用观察到的证据: 2026年9月26日修订版: b22ce1fbae63关联工具
声明的条件
- platform: Windows($.exploit_windows/http/manageengine_adselfservice_plus_cve_2022_28810.platform)
- verification: check_declared($.exploit_windows/http/manageengine_adselfservice_plus_cve_2022_28810.check)

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。