PT-2022-18817 · Unknown · Mybatis Pagehelper

Abel533 · Publicado 2022-05-04 · Atualizado 2022-12-12 · CVE-2022-28111

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

MyBatis PageHelper, versões 1.x.x a 5.3.x

Descrição

Foi descoberta uma vulnerabilidade de injeção de SQL independente de tempo no MyBatis PageHelper por meio do parâmetro orderBy. Esse problema permite possíveis ataques de injeção de SQL.

Recomendações

Para as versões 1.x.x a 5.3.x do MyBatis PageHelper, considere restringir o acesso ao parâmetro orderBy para minimizar o risco de exploração até que um patch esteja disponível. Como solução temporária, evite usar o parâmetro orderBy em consultas confidenciais. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-28111

GHSA-W559-623P-VFG8

Produtos afetados

Mybatis Pagehelper

Referências · 12

• 🔥 https://cnblogs.com/secload/articles/16061420.html · Exploit
• 🔥 https://github.com/yangfar/CVE/blob/main/CVE-2022-42227.md · Exploit
• https://github.com/pagehelper/Mybatis-PageHelper · Nota
• https://github.com/pagehelper/Mybatis-PageHelper/issues/674 · Nota
• https://github.com/pagehelper/Mybatis-PageHelper/commit/554a524af2d2b30d09505516adc412468a84d8fa · Nota
• ❌ https://github.com/pagehelper/Mybatis-PageHelper.git · Nota, Deleted
• https://t.me/cibsecurity/41900 · Publicação no Telegram
• https://t.me/cvenotify/30048 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-28111 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-w559-623p-vfg8 · Aviso do Fabricante
• https://pagehelper.github.io · Nota
• https://osv.dev/vulnerability/CVE-2022-28111 · Aviso do Fabricante