PT-2022-16558 · Unknown · Aceweb Online Portal

Publicado 2022-05-27 · Atualizado 2022-06-11 · CVE-2022-24240

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Portal online ACEweb versão 3.5.065

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de SQL. Essa vulnerabilidade pode ser explorada por meio do parâmetro criteria no endpoint showschedule.awp.

Recomendações

Para o Portal Online ACEweb versão 3.5.065, considere restringir o acesso ao endpoint showschedule.awp até que uma correção esteja disponível. Como solução temporária, evite usar o parâmetro criteria neste endpoint para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-24240

Produtos afetados

Aceweb Online Portal

Referências · 6

• https://osv.dev/vulnerability/CVE-2022-24240 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-24240 · Nota de Segurança
• http://aceweb.com · Nota
• https://t.me/cibsecurity/43675 · Publicação no Telegram
• http://aceware.com · Nota
• https://aceware.com/forum/viewtopic.php?f=7&t=481 · Aviso do Fabricante