PT-2022-15000 · Usoc · Usoc

P0Cas · Publicado 2022-01-04 · Atualizado 2022-01-21 · CVE-2022-21644

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

USOC (versões afetadas não especificadas)

Descrição

A vulnerabilidade está relacionada à injeção de SQL por meio do arquivo usersearch.php. Os termos de pesquisa fornecidos pelo usuário não são sanitizados e são usados diretamente para construir uma instrução SQL. Apenas administradores do site têm permissão para realizar pesquisas. Não há informações sobre o número estimado de dispositivos potencialmente afetados em todo o mundo ou incidentes reais em que essa vulnerabilidade tenha sido explorada. O arquivo usersearch.php é o ponto de acesso vulnerável, e os termos de pesquisa fornecidos pelo usuário são os parâmetros vulneráveis.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-21644

GHSA-89JG-6FR3-9Q4H

Produtos afetados

Usoc

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21644.json · Exploit
• https://github.com/Aaron-Junker/USOC/security/advisories/GHSA-89jg-6fr3-9q4h · Nota
• https://github.com/Aaron-Junker/USOC/commit/06217c66c8f9b114726b21633eabcd88ac9034aa · Correção
• https://t.me/cibsecurity/34960 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-21644 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21644 · Nota de Segurança
• https://t.me/cvenotify/25316 · Publicação no Telegram