جزئیات آسیب‌پذیری
CVE-2021-4463
Shenzhen Longjing Technology BEMS API
Longjing Technology BEMS API <= 1.21 Remote Arbitrary File Download
CVSS 4.0
8.7بالا
شرح رسمی (انگلیسی)
Longjing Technology BEMS API versions up to and including 1.21 contains an unauthenticated arbitrary file download vulnerability in the 'downloads' endpoint. The 'fileName' parameter is not properly sanitized, allowing attackers to craft traversal sequences and access sensitive files outside the intended directory.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Shenzhen Longjing Technology Co. Ltd. | BEMS API | v ≤ 1.21 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۷- https://www.zeroscience.mk/en/vulnerabilities/ZSL-2021-5657.php technical-descriptionexploit
- https://www.exploit-db.com/exploits/50163 exploit
- https://packetstormsecurity.com/files/163702 exploit
- https://cxsecurity.com/issue/WLB-2021070173 exploit
- https://exchange.xforce.ibmcloud.com/vulnerabilities/206477 vdb-entry
- https://web.archive.org/web/20220527162453/http://www.ljkj2012.com/ product
- https://www.vulncheck.com/advisories/longjing-technology-bems-api-remote-arbitrary-file-download third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۸/۲۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۲/۲۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۱٫۵۴٪
احتمال بهره‌برداری در ۳۰ روز
۷۵٫۱٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-552Files or Directories Accessible to External Parties
- CWE-22Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')