PT-2022-12680 · Mingsoft · Mingsoft Mcms

Lz2Y&R2

·

Publicado

2022-01-26

·

Atualizado

2022-02-02

·

CVE-2021-46383

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do Mingsoft MCMS <=5.2.5
Descrição
O problema está relacionado a uma vulnerabilidade de injeção de SQL, que permite que um invasor obtenha informações confidenciais do banco de dados remotamente. O componente afetado é net.mingsoft.mdiy.action.web.DictAction#list, e o vetor de ataque envolve o uso de ‘0 or sleep(3)’.
Recomendações
Para as versões do Mingsoft MCMS <=5.2.5, como solução temporária, considere desativar o componente net.mingsoft.mdiy.action.web.DictAction#list até que um patch esteja disponível.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-46383
GHSA-QQC2-PV68-Q72H

Produtos afetados

Mingsoft Mcms