PT-2021-17690 · Sita · Azurcms

Publicado 2021-07-02 · Atualizado 2021-07-06 · CVE-2021-27950

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Sita AzurCMS até a 1.2.3.12

Descrição:

Uma vulnerabilidade de injeção de SQL permite que um invasor autenticado execute comandos SQL arbitrários por meio do parâmetro id no arquivo “mesdocs.ajax.php” no azurWebEngine/eShop. Por padrão, a consulta é executada como DBA.

Recomendações:

Para versões até 1.2.3.12, considere restringir o acesso ao endpoint “mesdocs.ajax.php” no azurWebEngine/eShop para minimizar o risco de exploração. Como solução temporária, evite usar o parâmetro id no endpoint afetado até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-27950

Produtos afetados

Azurcms

Referências · 8

• 🔥 https://raw.githubusercontent.com/post-cyberlabs/CVE-Advisory/main/CVE-2021-27950.pdf · Exploit
• https://sitasoftware.lu/azur/software/web.php · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-27950 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-27950 · Aviso do Fabricante
• http://azurcms.com · Nota
• https://t.me/cibsecurity/25896 · Publicação no Telegram
• https://sitasoftware.lu · Aviso do Fabricante
• https://t.me/cvenotify/17169 · Publicação no Telegram