CVE-2020-8243highbajo ataqueCWE-94

CVE-2020-8243: fallo de gravedad alta en Pulse Connect Secre

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Connect Secure+ Monitorear Pulse Connect Secre

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

73Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 7.2epss 91%
de la publicación al arma
Publicada en NVD29 sept
CISA KEV+400d
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Un atacante autenticado puede cargar una plantilla personalizada en la interfaz administrativa de Pulse Connect Secure (versiones anteriores a 9.1R8.2) para ejecutar código arbitrario en el servidor.

Detalle técnico

La vulnerabilidad existe en la funcionalidad de carga de plantillas de la interfaz web administrativa, permitiendo que usuarios autenticados carguen plantillas maliciosas que eludan validaciones y ejecuten código arbitrario. CWE-94 (Code Injection) permite inyección de código a través de plantillas, resultando en ejecución remota con autenticación como precondición.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A vulnerability in the Pulse Connect Secure < 9.1R8.2 admin web interface could allow an authenticated attacker to upload custom template to perform an arbitrary code execution.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · Pulse Connect Secre