PT-2020-18942 · Os4Ed · Opensis

Publicado 2020-09-01 · Atualizado 2022-05-31 · CVE-2020-6128

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

OS4Ed openSIS versão 7.3

Descrição

Existe uma vulnerabilidade de injeção de SQL na página CoursePeriodModal.php. Ela pode ser acionada por uma solicitação HTTP especialmente criada, permitindo que um invasor explore o parâmetro meet date na página CoursePeriodModal.php para realizar uma injeção de SQL. Uma solicitação HTTP autenticada pode ser usada para acionar essa vulnerabilidade.

Recomendações

Para o OS4Ed openSIS versão 7.3, considere restringir o acesso à página CoursePeriodModal.php até que uma correção esteja disponível e evite usar o parâmetro meet date nessa página para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-6128

Produtos afetados

Opensis

Referências · 3

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2020-1075 · Exploit
• https://osv.dev/vulnerability/CVE-2020-6128 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-6128 · Nota de Segurança