PT-2022-20995 · Unknown · Rescue Dispatch Management System

K0Xx11 · Publicado 2022-06-01 · Atualizado 2022-06-10 · CVE-2022-31952

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Rescue Dispatch Management System versão 1.0

Descrição

O problema diz respeito a uma injeção de SQL através do endpoint /rdms/classes/Master.php?f=delete incident. Isso permite a possível manipulação de consultas ao banco de dados. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais.

Recomendações

Para o Rescue Dispatch Management System versão 1.0, como solução temporária, considere restringir o acesso à função delete incident no endpoint /rdms/classes/Master.php até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-31952

Produtos afetados

Rescue Dispatch Management System

Referências · 4

• 🔥 https://github.com/k0xx11/bug_report/blob/main/vendors/oretnom23/rescue-dispatch-management-system/SQLi-3.md · Exploit
• https://osv.dev/vulnerability/CVE-2022-31952 · Aviso do Fabricante
• https://t.me/cvenotify/31434 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-31952 · Nota de Segurança