Vulnerabilidades

ZKTeco ZKTime.Net 3.0.1.6 contiene una vulnerabilidad de permisos de archivo inseguros que permite a usuarios sin privilegios realizar una escalada de privilegios mediante la modificación de archivos ejecutables. Los atacantes pueden explotar los permisos de escritura global (world-writable) en el directorio…

Se descubrió un nombre de usuario y contraseña predeterminados para una cuenta de administrador en ZKTeco ZKTime 10.0 a 11.1.0, compilaciones 20180901, 20190510.1, 20200309.3, 20200930, 20201231 y 20210220.

Hay una vulnerabilidad de XSS reflejado en ZKTime Web 2.0.1.12280. La vulnerabilidad existe debido a la filtración insuficiente de datos proporcionados por el usuario en el campo "Range" del módulo "Department" en una consulta Personnel Advanced Query. Un atacante remoto puede ejecutar scripts y código HTML…

ZKTime Web Software 2.0.1.12280 permite que el administrador eleve los privilegios del usuario de la aplicación empleando una función "password_change()" del componente Modify Password, alcanzable mediante los parámetros old_password, new_password1 y new_password2 en el URI /accounts/password_change/. Un atacante se…

Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en la versión 2.0.1.12280 de ZKTeco ZKTime Web permite que los usuarios autenticados remotos secuestren la autenticación de los administradores para peticiones que añadan administradores aprovechando la falta de tokens anti-CSRF.

ZKTeco ZKTime Web 2.0.1.12280 permite que los atacantes remotos obtengan metadatos sensibles de los empleados mediante una petición directa de un documento PDF.