VICIdial 漏洞列表

VICIdial是一款开源的呼叫中心解决方案，广泛应用于客户服务和电话营销领域。VICIdial的 /VERM/VERM_AJAX_functions.php 接口存在SQL注入漏洞，未经身份验证的攻击者可以利用该漏洞通过基于时间的SQL注入枚举数据库记录。默认情况下，VICIdial会在数据库中存储明文凭据，攻击者可能通过该漏洞获取敏感信息，导致系统安全性受到严重威胁。

VICIdial's Web Client is susceptible to information disclosure because it contains many sensitive files that can be accessed from the client side. These files contain mysqli logs, auth logs, debug information, successful and unsuccessful login attempts with their corresponding IP's, User-Agents, credentials and much more. This information can be leveraged by an attacker to gain further access to VICIdial systems.

An unauthenticated attacker can leverage a time-based SQL injection vulnerability in VICIdial to enumerate database records. By default, VICIdial stores plaintext credentials within the database.

VICIdial存在SQL注入漏洞。该漏洞是由于缺乏验证导致的。

VICIdial admin.php中存在SQL注入漏洞。该漏洞是由于对用户输入的数据缺乏验证导致的。

VICIdial 的 Web Client 包含许多可以从客户端访问的敏感文件。这些文件包含 mysqli日志、身份验证日志、调试信息、成功和不成功的登录尝试以及相应的 IP、用户代理、凭据等等。攻击者可以利用此信息进一步访问 VICIdial 系统。此漏洞影响截至2021 年 5 月 20 日的所有版本。

【漏洞对象】VICIdial user 【漏洞描述】 导致黑客可以执行任意代码，获取服务器权限。