PT-2021-22156 · Auvesy · Versiondog

Amir Preminger · Publicado 2021-10-22 · Atualizado 2021-10-27 · CVE-2021-38481

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Não há menção a nenhum software ou versão específica nas descrições fornecidas.

Descrição

O serviço de agendamento, que é executado em uma porta TCP específica, permite que os usuários iniciem e interrompam tarefas. No entanto, ele não sanitiza o ID da tarefa (JOB ID) fornecido à função. Essa falta de sanitização permite que um invasor envie uma carga maliciosa, possibilitando potencialmente a execução de outra expressão SQL ao enviar uma string específica.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-38481

Produtos afetados

Versiondog

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2021-38481 · Nota de Segurança
• https://us-cert.cisa.gov/ics/advisories/icsa-21-292-01 · Nota
• https://t.me/cibsecurity/31020 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-38481 · Aviso do Fabricante