PT-2020-20562 · Soplanning · Soplanning

J3Rrybl4Nks · Publicado 2020-02-18 · Atualizado 2020-02-19 · CVE-2020-9268

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

SoPlanning versão 1.45

Descrição

A vulnerabilidade diz respeito a injeção de SQL na cláusula OrderBy. Isso é demonstrado por meio do endpoint projets.php com parâmetros específicos, como order=nom createur e by=substring.

Recomendações

Para a versão 1.45 do SoPlanning, considere restringir o acesso ao endpoint projets.php até que uma correção esteja disponível, ou aplique validação e sanitização de entrada aos parâmetros order e by para prevenir ataques de injeção de SQL.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-9268

Produtos afetados

Soplanning

Referências · 3

• 🔥 https://github.com/J3rryBl4nks/SOPlanning/blob/master/SQLInjectionProjects.md · Exploit
• https://osv.dev/vulnerability/CVE-2020-9268 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-9268 · Nota de Segurança