CVE-2014-0773 in WebAccess
Zusammenfassung
von VulDB • 17.05.2026
Das Steuerelement BWOCXRUN.BwocxrunCtrl.1 enthält eine Methode namens „CreateProcess“. Diese Methode enthält Validierungslogik, um sicherzustellen, dass ein Angreifer keine beliebigen Befehlszeilen ausführen kann. Nach der Validierung werden die in HTML angegebenen Werte an die Windows-API CreateProcessA übergeben.
Die Validierung kann umgangen werden, wodurch beliebige Befehlszeilen ausgeführt werden können. Die Befehlszeile kann das Ausführen von Remote-Dateien angeben (Beispiel: UNC-Befehlszeile).
Es existiert eine Funktion an der Offset-Adresse 100019B0 von bwocxrun.ocx. Innerhalb dieser Funktion gibt es drei Aufrufe von strstr, um den Inhalt der vom Benutzer angegebenen Befehlszeile zu überprüfen. Wenn „\setup.exe“, „\bwvbprt.exe“ oder „\bwvbprtl.exe“ in der Befehlszeile enthalten sind (strstr gibt einen Wert ungleich Null zurück), besteht die Befehlszeile die Validierung und wird anschließend an CreateProcessA übergeben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.