CVE-2023-54402

iDocView indeholder en server-side request forgery-sårbarhed i sit /doc/upload-endepunkt, der tillader fjernangribere uden autentificering at hente vilkårlige URL'er ved at anvende en hardkodet standardtoken-værdi (testtoken) for at omgå autentificering. Angribere kan udnytte ubegrænset URL-schemahåndtering, herunder file:// URI'er, til at læse vilkårlige lokale filer såsom operativsystem- og applikationskonfigurationsfiler og til at nå interne netværtsværter og -tjenester, der ellers ikke er tilgængelige. Exploiteringsbevis blev først observeret af Shadowserver Foundation den 2024-03-26.

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD