CVE-2022-30309

Опубликовано: 13 июн. 2022

Источник: nvd

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

In Festo Controller CECC-X-M1 product family in multiple versions, the http-endpoint "cecc-x-web-viewer-request-off" POST request doesn’t check for port syntax. This can result in unauthorized execution of system commands with root privileges due to improper access control command injection.

Ссылки

https://cert.vde.com/en/advisories/VDE-2022-020/
Vendor Advisory
https://cert.vde.com/en/advisories/VDE-2022-020/
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одновременно

Одно из

cpe:2.3:o:festo:controller_cecc-x-m1_firmware:*:*:*:*:*:*:*:*

Версия до 3.8.14 (включая)

cpe:2.3:o:festo:controller_cecc-x-m1_firmware:4.0.14:*:*:*:*:*:*:*

cpe:2.3:h:festo:controller_cecc-x-m1:-:*:*:*:*:*:*:*

Конфигурация 2

Одновременно

Одно из

cpe:2.3:o:festo:controller_cecc-x-m1-mv_firmware:*:*:*:*:*:*:*:*

Версия до 3.8.14 (включая)

cpe:2.3:o:festo:controller_cecc-x-m1-mv_firmware:4.0.14:*:*:*:*:*:*:*

cpe:2.3:h:festo:controller_cecc-x-m1-mv:-:*:*:*:*:*:*:*

Конфигурация 3

Одновременно

Одно из

cpe:2.3:o:festo:controller_cecc-x-m1-mv-s1_firmware:*:*:*:*:*:*:*:*

Версия до 3.8.14 (включая)

cpe:2.3:o:festo:controller_cecc-x-m1-mv-s1_firmware:4.0.14:*:*:*:*:*:*:*

cpe:2.3:h:festo:controller_cecc-x-m1-mv-s1:-:*:*:*:*:*:*:*

Конфигурация 4

Одновременно

cpe:2.3:o:festo:controller_cecc-x-m1-ys-l1_firmware:*:*:*:*:*:*:*:*

Версия до 3.8.14 (включая)

cpe:2.3:h:festo:controller_cecc-x-m1-ys-l1:-:*:*:*:*:*:*:*

Конфигурация 5

Одновременно

cpe:2.3:o:festo:controller_cecc-x-m1-ys-l2_firmware:*:*:*:*:*:*:*:*

Версия до 3.8.14 (включая)

cpe:2.3:h:festo:controller_cecc-x-m1-ys-l2:-:*:*:*:*:*:*:*

Конфигурация 6

Одновременно

cpe:2.3:o:festo:controller_cecc-x-m1-y-yjkp_firmware:*:*:*:*:*:*:*:*

Версия до 3.8.14 (включая)

cpe:2.3:h:festo:controller_cecc-x-m1-y-yjkp:-:*:*:*:*:*:*:*

Конфигурация 7

Одновременно

cpe:2.3:o:festo:servo_press_kit_yjkp_firmware:*:*:*:*:*:*:*:*

Версия до 3.8.14 (включая)

cpe:2.3:h:festo:servo_press_kit_yjkp:-:*:*:*:*:*:*:*

Конфигурация 8

Одновременно

cpe:2.3:o:festo:servo_press_kit_yjkp-_firmware:*:*:*:*:*:*:*:*

Версия до 3.8.14 (включая)

cpe:2.3:h:festo:servo_press_kit_yjkp-:-:*:*:*:*:*:*:*

EPSS

Процентиль: 76%

0.00978

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Дефекты

CWE-78

Связанные уязвимости

GHSA-xm2r-2g3f-xg38

CVSS3: 9.8

github

больше 3 лет назад

In Festo Controller CECC-X-M1 product family in multiple versions, the http-endpoint "cecc-x-web-viewer-request-off" POST request doesnâ€™t check for port syntax. This can result in unauthorized execution of system commands with root privileges due to improper access control command injection.

EPSS

Процентиль: 76%

0.00978

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Дефекты

CWE-78