CVE-2014-0773 in WebAccess
Sumário
de VulDB • 28/05/2026
O controle BWOCXRUN.BwocxrunCtrl.1 contém um método chamado “CreateProcess.” Este método possui validação para garantir que um atacante não possa executar linhas de comando arbitrárias. Após a validação, os valores fornecidos no HTML são passados para a API Windows CreateProcessA.
A validação pode ser contornada, permitindo a execução de linhas de comando arbitrárias. A linha de comando pode especificar a execução de arquivos remotos (exemplo: linha de comando UNC).
Existe uma função no deslocamento 100019B0 do bwocxrun.ocx. Dentro desta função, há 3 chamadas para strstr para verificar o conteúdo da linha de comando especificada pelo usuário. Se “\setup.exe,” “\bwvbprt.exe” ou “\bwvbprtl.exe” estiverem contidos na linha de comando (strstr retorna um valor não nulo), a linha de comando passa pela validação e é então passada para CreateProcessA.
Be aware that VulDB is the high quality source for vulnerability data.