Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2019-6771

Опубликовано: 03 июн. 2019
Источник: nvd
CVSS3: 3.3
CVSS3: 5.5
CVSS2: 4.3
EPSS Низкий

Уязвимость раскрытия конфиденциальной информации в Foxit Reader через некорректную обработку свойства "value" объекта "Field" в AcroForms

Описание

Эта уязвимость позволяет злоумышленникам раскрывать конфиденциальную информацию на уязвимых установках Foxit Reader. Для эксплуатации уязвимости требуется взаимодействие пользователя, в ходе которого цель должна посетить вредоносную страницу или открыть вредоносный файл. Конкретная проблема заключается в обработке свойства value объекта Field в AcroForms. Проблема возникает из-за отсутствия валидации существования объекта перед выполнением операций над ним. Злоумышленник способен использовать это в сочетании с другими уязвимостями для выполнения кода в контексте текущего процесса.

Затронутые версии ПО

  • Foxit Reader 2019.010.20098

Тип уязвимости

  • Утечка информации
  • Выполнение произвольного кода

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одновременно

Одно из

cpe:2.3:a:foxitsoftware:foxit_reader:*:*:*:*:*:*:*:*
Версия до 9.4.1.16828 (включая)
cpe:2.3:a:foxitsoftware:phantompdf:*:*:*:*:*:*:*:*
Версия до 8.3.9.41099 (включая)
cpe:2.3:a:foxitsoftware:phantompdf:*:*:*:*:*:*:*:*
Версия от 9.0.0 (включая) до 9.4.1.16828 (включая)
cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:*

EPSS

Процентиль: 46%
0.00236
Низкий

3.3 Low

CVSS3

5.5 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-416
CWE-416

Связанные уязвимости

github логотип

GHSA-gg22-xfpq-g9j7

CVSS3: 5.5
github
больше 3 лет назад

This vulnerability allows remote attackers to disclose sensitive information on vulnerable installations of Foxit Reader 2019.010.20098. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the handling of the value property of a Field object within AcroForms. The issue results from the lack of validating the existence of an object prior to performing operations on the object. An attacker can leverage this in conjunction with other vulnerabilities to execute code in the context of the current process. Was ZDI-CAN-8230.

EPSS

Процентиль: 46%
0.00236
Низкий

3.3 Low

CVSS3

5.5 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-416
CWE-416