CVE-2023-45303

Опубликовано: 06 окт. 2023

Источник: nvd

CVSS3: 8.4

CVSS3: 8.8

EPSS Низкий

Описание

ThingsBoard before 3.5 allows Server-Side Template Injection if users are allowed to modify an email template, because Apache FreeMarker supports freemarker.template.utility.Execute (for content sent to the /api/admin/settings endpoint).

Ссылки

https://freemarker.apache.org/docs/api/freemarker/template/utility/Execute.html
Exploit
https://herolab.usd.de/security-advisories/usd-2023-0010/
Exploit
https://freemarker.apache.org/docs/api/freemarker/template/utility/Execute.html
Exploit
https://herolab.usd.de/security-advisories/usd-2023-0010/
Exploit

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:thingsboard:thingsboard:*:*:*:*:*:*:*:*

Версия до 3.5 (исключая)

EPSS

Процентиль: 69%

0.00594

Низкий

8.4 High

CVSS3

8.8 High

CVSS3

Дефекты

CWE-74

Связанные уязвимости

GHSA-6pgr-j9v4-xfvv

CVSS3: 8.8

github

больше 2 лет назад

ThingsBoard Server-Side Template Injection

EPSS

Процентиль: 69%

0.00594

Низкий

8.4 High

CVSS3

8.8 High

CVSS3

Дефекты

CWE-74