CVE-2021-32530: falha crítica em QSAN XEVO
QSAN XEVO - Command Injection Following via Array function
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Uma falha na função Array do QSAN XEVO permite que atacantes injetem e executem comandos do sistema manipulando o parâmetro status, sem necessidade de autenticação. Isso permite que usuários não autorizados assumam controle completo do servidor.
Vulnerabilidade de injeção de comando do sistema operacional na função Array devido à validação insuficiente do parâmetro status, permitindo que atacantes remotos não autenticados injetem comandos maliciosos executados com privilégios do sistema. O vetor de ataque é remoto sem necessidade de autenticação, resultando em execução arbitrária de código e comprometimento total do sistema.
No mesmo produto, das mais perigosas para as menos.