PT-2021-10530 · Nuishop · Nuishop

Publicado 2021-08-26 · Atualizado 2021-08-27 · CVE-2020-20675

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Nuishop versão 2.3

Descrição:

O problema é uma vulnerabilidade de injeção de SQL localizada no endpoint /goods/getGoodsListByConditions/. Essa vulnerabilidade pode ser potencialmente explorada para extrair ou modificar dados confidenciais do banco de dados.

Recomendações:

Para o Nuishop versão 2.3, considere restringir o acesso ao endpoint /goods/getGoodsListByConditions/ até que uma correção esteja disponível. Como solução temporária, evite usar parâmetros que possam ser utilizados para injetar código SQL malicioso neste endpoint. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-20675

Produtos afetados

Nuishop

Referências · 6

• 🔥 https://xz.aliyun.com/t/6758#toc-2 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-20675 · Nota de Segurança
• https://t.me/cvenotify/20220 · Publicação no Telegram
• https://t.me/cvenotify/20282 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-20675 · Aviso do Fabricante
• https://t.me/cvenotify/20249 · Publicação no Telegram