9.8
CVSS 3.1
48,5%
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 18 декември 2024
Атакува се в момента
1069 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: активно се експлоатира
- Атаката може да се автоматизира
Описание
Оригинално описание
NUUO NVRmini2 through 3.11 allows an unauthenticated attacker to upload an encrypted TAR archive, which can be abused to add arbitrary users because of the lack of handle_import_user.php authentication. When combined with another flaw (CVE-2011-5325), it is possible to overwrite arbitrary files under the web root and achieve code execution as root.
Засегнати продукти
- n/a n/a: n/a
Вид слабост
История
- 14 януари 2022 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2022-23227
- https://nvd.nist.gov/vuln/detail/CVE-2022-23227
- https://github.com/pedrib/PoC/blob/master/advisories/NUUO/nuuo_nvrmini_round2.mkd
- https://github.com/rapid7/metasploit-framework/pull/16044
- https://portswigger.net/daily-swig/researcher-discloses-alleged-zero-day-vulnerabilities-in-nuuo-nvrmini2-recording-device
- https://news.ycombinator.com/item?id=29936569
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-23227