PT-2022-20992 · Unknown · Rescue Dispatch Management System

K0Xx11 · Publicado 2022-06-01 · Atualizado 2022-06-10 · CVE-2022-31946

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Rescue Dispatch Management System versão 1.0

Descrição

A vulnerabilidade diz respeito a uma injeção de SQL através do endpoint /rdms/classes/Master.php?f=delete team. Isso permite a possível manipulação de consultas ao banco de dados. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

Para o Rescue Dispatch Management System versão 1.0, como solução temporária, considere restringir o acesso à função delete team no endpoint /rdms/classes/Master.php até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-31946

Produtos afetados

Rescue Dispatch Management System

Referências · 4

• 🔥 https://github.com/k0xx11/bug_report/blob/main/vendors/oretnom23/rescue-dispatch-management-system/SQL-2.md · Exploit
• https://osv.dev/vulnerability/CVE-2022-31946 · Aviso do Fabricante
• https://t.me/cvenotify/31436 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-31946 · Nota de Segurança