CVSS: 10.0EPSS: 0%CPEs: 6EXPL: 0CVE-2020-5759
https://notcve.org/view.php?id=CVE-2020-5759
Grandstream UCM6200 series firmware version 1.0.20.23 and below is vulnerable to OS command injection via SSH. An authenticated remote attacker can execute commands as the root user by issuing a specially crafted "unset" command. Grandstream serie UCM6200 versiones de firmware 1.0.20.23 y posterior, es vulnerable a una inyección de comandos del Sistema Operativo por medio de SSH. Un atacante autenticado remoto puede ejecutar comandos como usuario root al emitir un comando "unset" especialmente diseñado • https://www.tenable.com/cve/CVE-2020-5759 https://www.tenable.com/security/research/tra-2020-42 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 9.0EPSS: 0%CPEs: 6EXPL: 0CVE-2020-5758
https://notcve.org/view.php?id=CVE-2020-5758
Grandstream UCM6200 series firmware version 1.0.20.23 and below is vulnerable to OS command injection via HTTP. An authenticated remote attacker can execute commands as the root user by sending a crafted HTTP GET to the UCM's "Old" HTTPS API. Grandstream serie UCM6200 versiones de firmware 1.0.20.23 y posterior, es vulnerable a una inyección de comandos del Sistema Operativo por medio de HTTP. Un atacante autenticado remoto puede ejecutar comandos como usuario root mediante el envío de un HTTP GET diseñado hacia la API HTTPS "Old" de UCM • https://www.tenable.com/cve/CVE-2020-5758 https://www.tenable.com/security/research/tra-2020-42 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 10.0EPSS: 0%CPEs: 6EXPL: 0CVE-2020-5757
https://notcve.org/view.php?id=CVE-2020-5757
Grandstream UCM6200 series firmware version 1.0.20.23 and below is vulnerable to OS command injection via HTTP. An authenticated remote attacker can bypass command injection mitigations and execute commands as the root user by sending a crafted HTTP POST to the UCM's "New" HTTPS API. Grandstream serie UCM6200 versiones de firmware 1.0.20.23 y posterior, es vulnerable a una inyección de comandos del Sistema Operativo por medio de HTTP. Un atacante autenticado remoto puede omitir las mitigaciones de inyección de comandos y ejecutar comandos como usuario root mediante el envío de un HTTP POST diseñado hacia la API HTTPS "New" de UCM • https://www.tenable.com/cve/CVE-2020-5757 https://www.tenable.com/security/research/tra-2020-42 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 7.5EPSS: 0%CPEs: 6EXPL: 2CVE-2020-5726 – Grandstream UCM6200 Series CTI Interface - 'user_password' SQL Injection
https://notcve.org/view.php?id=CVE-2020-5726
The Grandstream UCM6200 series before 1.0.20.22 is vulnerable to an SQL injection via the CTI server on port 8888. A remote unauthenticated attacker can invoke the challenge action with a crafted username and discover user passwords. La serie Grandstream UCM6200 versiones anteriores a 1.0.20.22, es vulnerable a una inyección SQL por medio del servidor CTI en el puerto 8888. Un atacante no autenticado remoto puede invocar la acción challenge con un nombre de usuario diseñado y detectar las contraseñas de usuarios. Grandstream UCM6200 Series CTI Interface versions 1.0.20.20 and below suffer from a remote SQL injection vulnerability. • https://www.exploit-db.com/exploits/48270 http://packetstormsecurity.com/files/156977/Grandstream-UCM6200-Series-CTI-Interface-SQL-Injection.html https://www.tenable.com/security/research/tra-2020-17 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 5.9EPSS: 0%CPEs: 6EXPL: 1CVE-2020-5725 – Grandstream UCM6200 Series WebSocket 1.0.20.20 SQL Injection
https://notcve.org/view.php?id=CVE-2020-5725
The Grandstream UCM6200 series before 1.0.20.22 is vulnerable to an SQL injection via the HTTP server's websockify endpoint. A remote unauthenticated attacker can invoke the login action with a crafted username and, through the use of timing attacks, can discover user passwords. La serie Grandstream UCM6200 versiones anteriores a 1.0.20.22, es vulnerable a una inyección SQL por medio del endpoint websockify del servidor HTTP. Un atacante no autenticado remoto puede invocar la acción login con un nombre de usuario diseñado y, mediante el uso de ataques de tiempo, puede detectar contraseñas de usuario. Grandstream UCM6200 Series WebSocket versions 1.0.20.20 and below suffer from a remote SQL injection vulnerability. • http://packetstormsecurity.com/files/156976/Grandstream-UCM6200-Series-WebSocket-1.0.20.20-SQL-Injection.html https://www.tenable.com/security/research/tra-2020-17 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •