PT-2020-14688 · Munkireport · Munkireport

Edouard Schweisguth · Publicado 2020-07-23 · Atualizado 2022-05-24 · CVE-2020-15887

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões anteriores à 1.6 do módulo Software Update do MunkiReport

Descrição

Uma vulnerabilidade de injeção de SQL no arquivo softwareupdate controller.php permite que invasores executem comandos SQL arbitrários por meio do último parâmetro da URL do endpoint “/module/softwareupdate/get tab data/”.

Recomendações

Para versões anteriores à 1.6, atualize para a versão 1.6 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “/module/softwareupdate/get tab data/” até que um patch esteja disponível. Evite usar o último parâmetro da URL no endpoint afetado até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-15887

GHSA-4QGH-M9VP-48XP

Produtos afetados

Munkireport

Referências · 8

• https://github.com/munkireport/munkireport-php/wiki/20200722-SQL-Injection-in-softwareupdate-module · Nota
• https://github.com/munkireport/munkireport-php/releases/tag/v5.6.3 · Nota
• https://github.com/munkireport/munkireport-php/releases · Nota
• https://github.com/munkireport/softwareupdate · Nota
• https://github.com/munkireport/softwareupdate/releases · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-15887 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-4qgh-m9vp-48xp · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-15887 · Aviso do Fabricante