BDU:2021-04472

Опубликовано: 27 июл. 2021

Источник: fstec

CVSS3: 9.1

CVSS2: 9

EPSS Низкий

Описание

Уязвимость компонента Money.php программного обеспечения для бухгалтерского учета Akaunting связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Вендор

Akaunting Inc.

Наименование ПО

Akaunting

Версия ПО

до 2.1.13 (Akaunting)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,9)

Возможные меры по устранению уязвимости

Обновление программного средства до актуальной версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-36800
CVE

EPSS

Процентиль: 55%

0.00322

Низкий

9.1 Critical

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2021-36800

CVSS3: 8.7

nvd

больше 4 лет назад

Akaunting version 2.1.12 and earlier suffers from a code injection issue in the Money.php component of the application. A POST sent to /{company_id}/sales/invoices/{invoice_id} with an items[0][price] that includes a PHP callable function is executed directly. This issue was fixed in version 2.1.13 of the product.

GHSA-2wq2-vmgv-993c

github

больше 3 лет назад