PT-2022-12561 · Xzs-Mysql · Xzs-Mysql

Publicado 2022-01-25 · Atualizado 2022-01-31 · CVE-2021-46086

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões t3.4.0 e posteriores do xzs-mysql

Descrição

O problema diz respeito a uma vulnerabilidade de permissões inseguras no método funcional de envio de provas em um sistema de exames online. Um invasor pode explorar essa vulnerabilidade modificando parâmetros no pacote de dados usando ferramentas como o Burp Suite, com o potencial de destruir dados reais.

Recomendações

Para as versões t3.4.0 e posteriores do xzs-mysql, considere restringir o acesso à funcionalidade de envio de provas até que uma correção adequada seja aplicada e revise as permissões do sistema para garantir que estejam devidamente protegidas.

Exploit

Correção

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

CVE-2021-46086

Produtos afetados

Xzs-Mysql

Referências · 4

• 🔥 https://github.com/mindskip/xzs-mysql/issues/327 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-46086 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-46086 · Aviso do Fabricante
• https://t.me/cibsecurity/36238 · Publicação no Telegram