PT-2021-5496 · Advantech · Advantech R-Seenet

Yuri Kramarz · Publicado 2021-08-19 · Atualizado 2022-05-13 · CVE-2021-21915

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Advantech R-SeeNet versão 2.4.15

Descrição

O problema está relacionado à falta de proteção contra ataques de injeção de SQL no parâmetro company filter da página group list. Isso pode ser explorado através do envio de consultas SQL especialmente criadas, permitindo potencialmente que invasores remotos realizem ataques de cross-site scripting. Um invasor pode desencadear esse problema fazendo solicitações HTTP autenticadas.

Recomendações

Para o Advantech R-SeeNet versão 2.4.15, considere restringir o acesso à página group list até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o parâmetro company filter na página afetada para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2021-06346

CVE-2021-21915

Produtos afetados

Advantech R-Seenet

Referências · 6

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2021-1363 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-21915 · Nota de Segurança
• https://cybersecurity-help.cz/vdb/SB2021112314 · Nota
• https://safe-surf.ru/upload/VULN/VULN-20211124.3.pdf · Nota de Segurança
• https://bdu.fstec.ru/vul/2021-06346 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-21915 · Aviso do Fabricante