جزئیات آسیب‌پذیری
CVE-2020-36877
ReQuest Serious Play ReQuest Serious PlayReQuest Serious Play Pro
ReQuest Serious Play F3 Media Server <= 7.0.3 code execution
CVSS 4.0
9.3بحرانی
شرح رسمی (انگلیسی)
ReQuest Serious Play F3 Media Server 7.0.3 contains an unauthenticated remote code execution vulnerability that allows attackers to execute arbitrary commands as the web server user. Attackers can upload PHP executable files via the Quick File Uploader page, resulting in remote code execution on the server.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.3بحرانی | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| ReQuest Serious Play LLC | ReQuest Serious Play | 2.0.1.823 | CVEProject cvelistV5 (CNA) |
| ReQuest Serious Play LLC | ReQuest Serious Play | 6.3.2.4203 | CVEProject cvelistV5 (CNA) |
| ReQuest Serious Play LLC | ReQuest Serious Play | 6.4.2.4681 | CVEProject cvelistV5 (CNA) |
| ReQuest Serious Play LLC | ReQuest Serious Play | 6.5.2.4954 | CVEProject cvelistV5 (CNA) |
| ReQuest Serious Play LLC | ReQuest Serious Play | 7.0.2.4954 | CVEProject cvelistV5 (CNA) |
| ReQuest Serious Play LLC | ReQuest Serious Play Pro | 7.0.3.4968 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://www.exploit-db.com/exploits/48952 exploit
- https://www.zeroscience.mk/en/vulnerabilities/ZSL-2020-5602.php vendor-advisory
- http://request.com/ product
- https://www.vulncheck.com/advisories/request-serious-play-f-media-server-unauthenticated-rce third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۹/۱۴
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۱/۱۸
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۷۷٪
احتمال بهره‌برداری در ۳۰ روز
۵۵٫۷٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-78Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')