A vulnerability in the web framework of the Cisco Digital Network Architecture Center (DNA Center) could allow an unauthenticated, remote at

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• cisco digital network architecture center1.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (cisco). Не зависят от анализа CPE в NVD и обычно опережают его.

• n/a Cisco DNA Center

  • Cisco DNA Centerзатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2018-0268A vulnerability in the container management subsystem of Cisco Digital Network Architecture (DNA) Center could allow an unauthenticated, rem
  42В плане
• CVE-2018-0222A vulnerability in Cisco Digital Network Architecture (DNA) Center could allow an unauthenticated, remote attacker to log in to an affected
  41В плане
• CVE-2018-15386Cisco Digital Network Architecture Center Unauthenticated Access Vulnerability
  40В плане
• CVE-2018-0448Cisco Digital Network Architecture Center Authentication Bypass Vulnerability
  40В плане
• CVE-2018-0271A vulnerability in the API gateway of the Cisco Digital Network Architecture (DNA) Center could allow an unauthenticated, remote attacker to
  40В плане
• CVE-2019-1848Cisco DNA Center Authentication Bypass Vulnerability
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.