PT-2022-15274 · Unknown · Lansweeper

Icewall + 1 · Publicado 2022-04-14 · Atualizado 2022-04-21 · CVE-2022-22149

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Lansweeper versão 9.1.20.2

Descrição

Existe uma vulnerabilidade de injeção SQL na funcionalidade HelpdeskEmailActions.aspx. Ela pode ser acionada por uma solicitação HTTP especialmente criada, permitindo que um invasor provoque uma injeção SQL por meio de uma solicitação HTTP autenticada.

Recomendações

Para a versão 9.1.20.2, considere restringir o acesso à funcionalidade HelpdeskEmailActions.aspx até que uma correção esteja disponível. Como solução alternativa temporária, limite a capacidade de fazer solicitações HTTP autenticadas para essa funcionalidade, a fim de minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-22149

Produtos afetados

Lansweeper

Referências · 4

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2022-1441 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-22149 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-22149 · Aviso do Fabricante
• https://lansweeper.com/changelog · Aviso do Fabricante