PT-2021-19641 · Hexagon · Hexagon G!Nius Auskunftsportal
Marcel Keiffenheim
·
Publicado
2021-05-11
·
Atualizado
2021-05-21
·
CVE-2021-32051
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
**Nome do software vulnerável e versões afetadas:
Hexagon G!nius Auskunftsportal, versões anteriores à 5.0.0.0
Descrição:
A vulnerabilidade permite injeção de SQL por meio do parâmetro
id no endpoint da API “GiPWorkflow/Service/DownloadPublicFile”. Isso pode levar a acesso não autorizado a dados confidenciais. Não há informações sobre o número estimado de dispositivos potencialmente afetados em todo o mundo ou sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.Recomendações:
Para versões anteriores à 5.0.0.0, atualize para a versão 5.0.0.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API “GiPWorkflow/Service/DownloadPublicFile” para minimizar o risco de exploração. Evite usar o parâmetro
id neste endpoint até que o problema seja resolvido.Exploit
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Hexagon G!Nius Auskunftsportal