CVE-2020-14425

Опубликовано: 02 нояб. 2020

Источник: nvd

CVSS3: 7.8

CVSS2: 6.8

EPSS Средний

Уязвимость удалённого выполнения команд в Foxit Reader через API "app.opencPDFWebPage" JavaScript

Описание

В Foxit Reader до версии 10.0 существует уязвимость, позволяющая злоумышленнику выполнить локальные файлы и обойти диалог безопасности через JavaScript API app.opencPDFWebPage.

Затронутые версии ПО

Foxit Reader до релиза 10.0

Тип уязвимости

Удалённое выполнение команд
Обход механизма безопасности

Ссылки

http://packetstormsecurity.com/files/159784/Foxit-Reader-9.7.1-Remote-Command-Execution.html
Exploit
Third Party Advisory
VDB Entry
https://www.exploit-db.com/exploits/48982
Exploit
Third Party Advisory
VDB Entry
https://www.foxitsoftware.com/support/security-bulletins.php
Vendor Advisory
http://packetstormsecurity.com/files/159784/Foxit-Reader-9.7.1-Remote-Command-Execution.html
Exploit
Third Party Advisory
VDB Entry
https://www.exploit-db.com/exploits/48982
Exploit
Third Party Advisory
VDB Entry
https://www.foxitsoftware.com/support/security-bulletins.php
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:foxitsoftware:foxit_reader:*:*:*:*:*:*:*:*

Версия от 9.7.1 (включая) до 10.0.0 (исключая)

EPSS

Процентиль: 96%

0.26569

Средний

7.8 High

CVSS3

6.8 Medium

CVSS2

Дефекты

NVD-CWE-noinfo

Связанные уязвимости

GHSA-9f4c-vrch-393x

github

больше 3 лет назад

Foxit Reader before 10.0 allows Remote Command Execution via the app.opencPDFWebPage JavsScript API. An attacker can execute local files and bypass the security dialog.