CVE-2014-1902
Zranitelnost více skriptování (XSS) s více skriptovatelnosti v rámci mezi místy v modelech fotoaparátu Y-CAM SD Range YCB003, YCK003 a YCW003; S rozsah YCB004, YCK004, YCW004; Eyeball YCEB03; Bullet VGA YCBL03 a YCBLB3; Bullet HD 720 YCBLHD5; Y-Cam Classic Range YCB002, YCK002 a YCW003; a původní rozsah y-cam YCB001, YCW001, spuštěné firmware 4.30 a dříve, umožňují vzdáleným ověřeným uživatelům vstřikovat libovolný webový skript nebo HTML prostřednictvím (1) parametru syscontact for Form/IdentityApply, jak je spuštěno pomocí en/identity.asp; (2) Parametr Passwd for Form/Accadd, jak je spuštěno pomocí EN/Account/Accedit.asp; (3) parametr NTPSERVER na vytvoření/Clockapply, jak je spuštěno pomocí en/clock.asp; (4) Parametr serveru pro vytvoření/smtpClientApply, jak je spuštěno pomocí en/smtpclient.asp; (5) Parametr serveru na vytvoření/ftpapply, jak je spuštěno pomocí EN/ftp.asp; nebo (6) Parametr serveru pro vytvoření/httpeventapply, jak je spuštěno pomocí en/httpevent.asp.
CONFIRM: http://www.y-cam.com/y-cam-security-fix/
MISC: https://www.trustwave.com/Resources/Security-Advisories/Advisories/TWSL2014-007/?fid=3850
CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-1902
published: 13. 5. 2015
