PT-2020-13344 · Loway · Queuemetrics

Divzeronz · Publicado 2020-09-09 · Atualizado 2020-09-15 · CVE-2020-13127

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Loway QueueMetrics anteriores à 19.04.1

Descrição

Existe uma vulnerabilidade de injeção de SQL no URI tpf, permitindo que invasores remotos autenticados executem comandos SQL arbitrários por meio do parâmetro TASKS LIST pt.querystring.

Recomendações

Para versões anteriores à 19.04.1, atualize para a versão 19.04.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao URI tpf para minimizar o risco de exploração. Evite usar o parâmetro TASKS LIST pt.querystring no URI afetado até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-13127

Produtos afetados

Queuemetrics

Referências · 4

• 🔥 https://blog.divisionzero.co/2020/05/18/cve-2020-13127 · Exploit
• https://osv.dev/vulnerability/CVE-2020-13127 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-13127 · Nota de Segurança
• https://manuals.loway.ch/QM_WhatsNew-chunked/ch17.html · Aviso do Fabricante