PT-2022-16041 · Cube-Js · Cube-Js

CVE-2022-23510 · Publicado 2022-12-09 · Atualizado 2022-12-13

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

cube-js versão 0.31.23

Descrição

O problema diz respeito a uma plataforma de inteligência de negócios sem interface gráfica, na qual todos os clientes autenticados podiam contornar a segurança de nível de linha do SQL e executar consultas SQL arbitrárias por meio do endpoint /v1/sql-runner. Isso foi resolvido na versão 0.31.24.

Recomendações

Para a versão 0.31.23, atualize para a versão 0.31.24 ou volte para a versão 0.31.22 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint /v1/sql-runner até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-23510

GHSA-6JQM-3C9G-PCH7

Produtos afetados

Cube-Js

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23510.json · Exploit
• https://github.com/cube-js/cube.js/commit/3c614674fed6ca17df08bbba8c835ef110167570 · Correção
• https://github.com/cube-js/cube.js/commit/f1140de508e359970ac82b50bae1c4bf152f6041 · Correção
• https://github.com/cube-js/cube.js/security/advisories/GHSA-6jqm-3c9g-pch7 · Nota
• https://github.com/cube-js/cube.js · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-23510 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6jqm-3c9g-pch7 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-23510 · Aviso do Fabricante
• https://t.me/cvenotify/39568 · Publicação no Telegram