PT-2021-22104 · Delta Electronics · Diaenergie
Michael Heinzl
·
Publicado
2021-08-30
·
Atualizado
2021-09-07
·
CVE-2021-38390
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Delta Electronics DIAEnergie versões 1.7.5 e anteriores
Descrição
Existe uma vulnerabilidade de injeção SQL cega devido à validação inadequada do valor controlado pelo usuário fornecido através do parâmetro
egyid no endpoint “/DataHandler/HandlerEnergyType.ashx”. Isso permite que um invasor remoto não autenticado execute código arbitrário no contexto de NT SERVICEMSSQLSERVER.Recomendações
Para as versões 1.7.5 e anteriores do Delta Electronics DIAEnergie, considere restringir o acesso ao endpoint “/DataHandler/HandlerEnergyType.ashx” até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o parâmetro
egyid no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Diaenergie