Podatność typu argument injection w Accellion FTA 9_12_432 i wcześniejszych wersjach umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych operacji przez spreparowany żądanie POST do punktu końcowego administratora. Krytyczny poziom CVSS 9.8 oznacza pełne ryzyko naruszenia poufności, integralności i dostępności systemu.
▸ Pokaż oryginał (EN)
Accellion FTA 9_12_432 and earlier is affected by argument injection via a crafted POST request to an admin endpoint. The fixed version is FTA_9_12_444 and later.
Atakujący przesyła spreparowany żądanie HTTP POST do administracyjnego endpointu aplikacji Accellion FTA. Nieodpowiednia walidacja lub sanityzacja danych wejściowych pozwala na wstrzyknięcie dodatkowych argumentów do wywołania wewnętrznych poleceń lub procesów systemowych. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni go szczególnie niebezpiecznym w środowiskach dostępnych z internetu.
Atakujący bez żadnych uprawnień może uzyskać pełną kontrolę nad systemem — naruszając poufność, integralność oraz dostępność danych i usługi przesyłu plików Accellion FTA.
Należy zaktualizować Accellion FTA do wersji FTA_9_12_444 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Accellion FTA w wersji 9_12_432 i wcześniejszych.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAccellion Fta
APPAccellion≤ 9_12_432
Powiązane podatności
SQL injection w Accellion FTA przez nagłówek Host w żądaniu HTTP
SSRF w Accellion FTA via wmProgressstat.html — zdalne fałszowanie żądań
Accellion FTA — command injection przez żądanie POST do endpointów admina
Accellion FTA 9_12_411 and earlier is affected by OS command execution via a local web service call. The fixed...
Accellion FTA 9_12_432 and earlier is affected by stored XSS via a crafted POST request to a user endpoint. Th...