VSee Clinic 7.1.26 및 VSee Clinic API 1.3.0은 인증되지 않은 3개의 엔드포인트의 HTTP 응답에 일반 텍스트 SFTP 자격 증명을 노출합니다. 애플리케이션 내에서 SFTP 연결이 구성된 경우에만 이러한 응답에 자격 증명이 있습니다. 이러한 자격 증명을 검색하는 데는 인증이 필요하지 않습니다. SFTP가 구성된 인스턴스에서 이러한 HTTP 응답을 관찰하는 인증되지 않은 원격 공격자는 자격 증명을 획득하고 이를 사용하여 연결된 S에 액세스할 수 있습니다.
VSee Clinic 7.1.26 및 VSee Clinic API 1.3.0은 인증되지 않은 3개의 엔드포인트의 HTTP 응답에 일반 텍스트 SFTP 자격 증명을 노출합니다. 애플리케이션 내에서 SFTP 연결이 구성된 경우에만 이러한 응답에 자격 증명이 있습니다. 이러한 자격 증명을 검색하는 데는 인증이 필요하지 않습니다. SFTP가 구성된 인스턴스에서 이러한 HTTP 응답을 관찰하는 인증되지 않은 원격 공격자는 자격 증명을 획득하고 이를 사용하여 연결된 SFTP 서버에 액세스할 수 있습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 90.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 90.00 |
VPI 공식 vpi-v1 기준