Filecatalyst Workflow
Уязвимости
4
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.90067
Распределение по критичности
Критический
3
Высокий
1
Средний
0
Низкий
0
Затронутые диапазоны версий
5.0.4–5.1.75.0–5.1.6< 5.1.6
Также сопоставлено как (исходные строки): filecatalyst_workflow
Топ уязвимостей
CVE-2024-6633Учетные данные по умолчанию для базы данных HSQL, используемой при установке (HSQLDB), для FileCatalyst Workflow опубликованы в статье базы знаний поставщика. Неправильное использование этих учетных данных может привести к нарушению конфиденциальности, целостности или доступности программного обеспечения.
HSQLDB включена только для упрощения установки, является устаревшей и не предназначена для производственного использования в соответствии с руководствами поставщика. Однако пользователи, которые не настроили FileCatalyst Workflow для использования альтернативной базы данных в соответствии с рекомендациями, уязвимы для атак из любого источника, который может достичь HSQLDB.
CVE-2024-25153Directory traversal в «ftpservlet» веб-портала FileCatalyst Workflow позволяет загружать файлы за пределы целевого каталога «uploadtemp» с помощью специально созданного POST-запроса. В ситуациях, когда файл успешно загружен в DocumentRoot веб-портала, специально созданные JSP-файлы могут использоваться для выполнения кода, включая веб-оболочки.
CVE-2024-5276Уязвимость SQL-инъекции в Fortra FileCatalyst Workflow позволяет злоумышленнику изменять данные приложения. Вероятные последствия включают создание учетных записей администраторов и удаление или изменение данных в базе данных приложения. Эксфильтрация данных через SQL-инъекцию невозможна с использованием этой уязвимости. Для успешной неаутентифицированной эксплуатации требуется система Workflow с включенным анонимным доступом, в противном случае требуется аутентифицированный пользователь. Эта проблема затрагивает все версии FileCatalyst Workflow от 5.1.6 Build 135 и более ранние.
CVE-2024-6632В FileCatalyst Workflow существует уязвимость, при которой поле, доступное супер администратору, может быть использовано для выполнения SQL-инъекции, что может привести к потере конфиденциальности, целостности и доступности.