PT-2021-19500 · Unknown · Dce Extension

Publicado 2021-04-28 · Atualizado 2021-08-27 · CVE-2021-31777

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Extensão dce, versões 2.2.0 a 2.6.x anteriores à 2.6.2

Extensão dce, versões 2.7.x anteriores à 2.7.1

Descrição

A vulnerabilidade permite a injeção de SQL por meio de uma conta de usuário do backend. Isso pode ser explorado para injetar código SQL malicioso, levando potencialmente a acesso não autorizado ou manipulação de dados.

Recomendações

Para as versões da extensão dce 2.2.0 a 2.6.x anteriores à 2.6.2, atualize para a versão 2.6.2 ou posterior.

Para as versões da extensão dce 2.7.x anteriores à 2.7.1, atualize para a versão 2.7.1 ou posterior.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-31777

GHSA-5V5H-4W2G-GXXC

Produtos afetados

Dce Extension

Referências · 12

• 🔥 http://packetstormsecurity.com/files/162429/TYPO3-6.2.1-SQL-Injection.html · Exploit
• https://osv.dev/vulnerability/CVE-2021-31777 · Aviso do Fabricante
• https://cds.thalesgroup.com/en/tcs-cert/CVE-2021-31777 · Nota
• https://excellium-services.com/cert-xlm-advisory · Nota
• https://packagist.org/packages/t3/dce · Nota
• https://bitbucket.org/ArminVieweg/dce/commits/998a2392f69f2153797c5ace6e8914ca309e70c7 · Nota
• https://t.me/cvenotify/13982 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-5v5h-4w2g-gxxc · Aviso do Fabricante
• https://t.me/cvenotify/14265 · Publicação no Telegram
• https://typo3.org/security/advisory/typo3-ext-sa-2021-005 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-31777 · Nota de Segurança
• https://t.me/cvenotify/13837 · Publicação no Telegram