PT-2021-19756 · Qsan · Qsan Xevo

Publicado 2021-07-07 · Atualizado 2021-09-20 · CVE-2021-32530

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do QSAN XEVO anteriores à 2.1.0

Descrição:

O problema consiste em uma vulnerabilidade de injeção de comando no sistema operacional na função Array do QSAN XEVO, permitindo que invasores remotos não autenticados executem comandos arbitrários por meio do parâmetro status.

Recomendações:

Para versões anteriores à 2.1.0, atualize para a versão 2.1.0 para resolver o problema. Como solução temporária, considere restringir o acesso à função Array para minimizar o risco de exploração. Evite usar o parâmetro status na função afetada até que o problema seja resolvido.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2021-32530

Produtos afetados

Qsan Xevo

Referências · 5

• https://t.me/cvenotify/17303 · Publicação no Telegram
• https://t.me/cvenotify/17996 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-32530 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-32530 · Aviso do Fabricante
• https://twcert.org.tw/tw/cp-132-4886-d3b14-1.html · Nota