跳到主要内容

超危

Grandstream UCM6200 SQL注入漏洞

2020-03-23 19:31:40 公开 ，2026-02-23 20:24:08 更新

  • 关键漏洞
  • CISA KEV
  • 远程
  • 公开PoC
  • 无需认证
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
CWEs：
CWE-89 （SQL Injection）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2025-02-07 04:27:25

风险信息

CVSS v2 向量
AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS v2 风险值
10
CVSS v3 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3 风险值
9.8
CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
9.8

详细信息

漏洞类型
SQL注入
漏洞描述
Grandstream UCM6200是美国潮流网络（Grandstream）公司的一套用于IP电话通信的企业级交换机。Grandstream UCM6200 1.0.19.20之前版本和1.0.20.17之前版本中的HTTP接口存在SQL注入漏洞。攻击者可利用该漏洞以root权限执行shell命令或向密码找回邮件中注入HTML。
修复建议
目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页： http://www.grandstream.com.cn/

参考链接