CVSS: 9.8EPSS: 11%CPEs: 2EXPL: 2CVE-2018-14496
https://notcve.org/view.php?id=CVE-2018-14496
Vivotek FD8136 devices allow remote memory corruption and remote code execution because of a stack-based buffer overflow, related to sprintf, vlocal_buff_4326, and set_getparam.cgi. NOTE: The vendor has disputed this as a vulnerability and states that the issue does not cause a web server crash or have any other affect on it's performance ** EN DISPUTA ** Los dispositivos FD8136 de Vivotek, permiten una corrupción de memoria remota y ejecución de código remota debido a un desbordamiento de búfer en la región stack de la memoria, relacionado con sprintf, la función vlocal_buff_4326 y el archivo set_getparam.cgi. NOTA: El proveedor ha cuestionado esto como una vulnerabilidad y declara que el problema no causa un bloqueo del servidor web ni tiene ningún otro efecto en su rendimiento. • https://www.vdalabs.com/2018/07/23/professional-iot-hacking-series-target-selection-firmware-analysis https://www.vdalabs.com/2018/11/29/professional-iot-hacking-series-hunting-remote-memory-corruption • CWE-787: Out-of-bounds Write •
CVSS: 10.0EPSS: 8%CPEs: 2EXPL: 2CVE-2018-14495
https://notcve.org/view.php?id=CVE-2018-14495
Vivotek FD8136 devices allow Remote Command Injection, aka "another command injection vulnerability in our target device," a different issue than CVE-2018-14494. NOTE: The vendor has disputed this as a vulnerability and states that the issue does not cause a web server crash or have any other affect on it's performance ** EN DISPUTA ** Los dispositivos FD8136 de Vivotek, permiten la inyección de comandos remota, también se conoce como "another command injection vulnerability in our target device", un problema diferente de CVE-2018-14494. NOTA: El fabricante ha disputado esto como una vulnerabilidad y declara que no causa un bloqueo del servidor web ni tiene ningún otro efecto en su rendimiento. • https://www.vdalabs.com/2018/07/23/professional-iot-hacking-series-target-selection-firmware-analysis https://www.vdalabs.com/2018/08/06/professional-iot-hacking-series-hunting-remote-command-injection • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 10.0EPSS: 0%CPEs: 2EXPL: 0CVE-2018-14494
https://notcve.org/view.php?id=CVE-2018-14494
Vivotek FD8136 devices allow Remote Command Injection, related to BusyBox and wget. NOTE: the vendor sent a clarification on 2019-09-17 explaining that, although this CVE was first populated in July 2019, it is a historical vulnerability that does not apply to any current or recent Vivotek hardware or firmware ** EN DISPUTA ** Los dispositivos FD8136 de Vivotek, permiten la inyección de comandos remota, relacionada con las aplicaciones BusyBox y wget. NOTA: el fabricante envió una aclaración el 17-09-2019 explicando que, aunque este CVE se relleno por primera vez en julio de 2019, es una vulnerabilidad histórica que no se aplica a ningún hardware o firmware Vivotek actual o reciente. • https://www.vdalabs.com/2018/07/23/professional-iot-hacking-series-target-selection-firmware-analysis https://www.vdalabs.com/2018/08/06/professional-iot-hacking-series-hunting-remote-command-injection • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 1CVE-2018-18004
https://notcve.org/view.php?id=CVE-2018-18004
Incorrect Access Control in mod_inetd.cgi in VIVOTEK Network Camera Series products with firmware before XXXXXX-VVTK-0X09a allows remote attackers to enable arbitrary system services via a URL parameter. Control de acceso incorrecto en mod_inetd.cgi en los productos VIVOTEK Network Camera Series con un firmware anterior al XXXXXX-VVTK-0X09a permite a los atacantes remotos habilitar servicios de sistema arbitrarios mediante un parámetro URL. • http://download.vivotek.com/downloadfile/support/cyber-security/vvtk-sa-2018-006-v1.pdf https://blog.securityevaluators.com/vivotek-ip-camera-vulnerabilities-discovered-and-exploited-2e2531ecd244 • CWE-862: Missing Authorization •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 1CVE-2018-18005
https://notcve.org/view.php?id=CVE-2018-18005
Cross-site scripting in event_script.js in VIVOTEK Network Camera Series products with firmware 0x06x to 0x08x allows remote attackers to execute arbitrary JavaScript via a URL query string parameter. Cross-Site Scripting (XSS) en event_script.js en los productos VIVOTEK Network Camera Series con un firmware entre el 0x06x y 0x08x permite a los atacantes remotos ejecutar código JavaScript arbitrario mediante un parámetro URL de la cadena de consulta. • http://download.vivotek.com/downloadfile/support/cyber-security/vvtk-sa-2018-006-v1.pdf https://blog.securityevaluators.com/vivotek-ip-camera-vulnerabilities-discovered-and-exploited-2e2531ecd244 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •