CVE-2014-7868

EPSS 73.3%

Vexday Risk Score

45Atenção

Decisão SSVC (CISA)

Attend

PoC disponível → acompanhar de perto

Maturidade do exploit

Prova de conceito

Existe prova de conceito pública, mas ainda não automatizada.

CVSS —EPSS 73.3%KEV nãoPoC públicaNuclei —Metasploit —Patch —

Ciclo de vida

09 nov 2014PoC pública

04 dez 2014Publicada no NVD

Recomendação: Planejar correção próxima — já existe PoC pública.

Multiple SQL injection vulnerabilities in ZOHO ManageEngine OpManager 11.3 and 11.4, IT360 10.3 and 10.4, and Social IT Plus 11.0 allow remote attackers or remote authenticated users to execute arbitrary SQL commands via the (1) OPM_BVNAME parameter in a Delete operation to the APMBVHandler servlet or (2) query parameter in a compare operation to the DataComparisonServlet servlet.

Produtos afetados

n/a · n/a

PoCs públicas encontradas — 3

cve_referencepacketstormsecurity.com/files/129037/ManageEngine-OpManager-Social-IT-Plus-IT360-File-Upload-SQL-Injection.htmlnão verificado exploitdbwww.exploit-db.com/exploits/35209não verificado exploitdbwww.exploit-db.com/exploits/43896não verificado

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Referências

http://packetstormsecurity.com/files/129037/ManageEngine-OpManager-Social-IT-Plus-IT360-File-Upload-SQL-Injection.html http://seclists.org/fulldisclosure/2014/Nov/21 https://raw.githubusercontent.com/pedrib/PoC/master/ManageEngine/me_opmanager_socialit_it360.txt https://support.zoho.com/portal/manageengine/helpcenter/articles/sql-injection-vulnerability-fix http://www.securityfocus.com/archive/1/533946/100/0/threaded http://www.securityfocus.com/bid/71002