9.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 3 ноември 2021
Атакува се в момента
1584 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: активно се експлоатира
- Атаката може да се автоматизира
Описание
Оригинално описание
Telerik.Web.UI.dll in Progress Telerik UI for ASP.NET AJAX before R2 2017 SP1 and Sitefinity before 10.0.6412.0 does not properly protect Telerik.Web.UI.DialogParametersEncryptionKey or the MachineKey, which makes it easier for remote attackers to defeat cryptographic protection mechanisms, leading to a MachineKey leak, arbitrary file uploads or downloads, XSS, or ASP.NET ViewState compromise.
Засегнати продукти
- n/a n/a: n/a
Вид слабост
История
- 3 юли 2017 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2017-9248
- https://nvd.nist.gov/vuln/detail/CVE-2017-9248
- http://www.telerik.com/support/kb/aspnet-ajax/details/cryptographic-weakness
- https://www.exploit-db.com/exploits/43873/
- http://www.telerik.com/blogs/security-alert-for-telerik-ui-for-asp.net-ajax-and-progress-sitefinity
- http://www.securityfocus.com/bid/99965
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-9248