Unknown · Instantcms · CVE-2024-31212
**Nome do software vulnerável e versões afetadas**
InstantCMS versão 2.16.2
**Descrição**
Uma vulnerabilidade de injeção de SQL afeta o aplicativo, permitindo que um invasor com privilégios administrativos execute código SQL não autorizado. A vulnerabilidade existe na ação `index chart data`, que recebe a entrada do usuário e a passa sem sanitização para a função `filterFunc` do modelo principal, incorporando esses dados em uma instrução SQL. Isso permite que invasores injetem código SQL indesejado na instrução. A variável `period` deve ser escapada antes de ser inserida na consulta.
**Recomendações**
Como solução temporária, considere desativar a ação `index chart data` até que um patch esteja disponível. Restrinja o acesso à função `filterFunc` para minimizar o risco de exploração. Evite usar a variável `period` na instrução SQL afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.