PT-2022-21710 · Wwbn Avideo+1 · Live Schedules Plugin+1

Claudio Bozzato · CVE-2022-33148 · Publicado 2022-08-22 · Atualizado 2022-08-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H

Nome do software vulnerável e versões afetadas

WWBN AVideo versão 11.6

Descrição

Existe uma vulnerabilidade de injeção de SQL na funcionalidade ObjectYPT, especificamente no plugin Live Schedules. Isso permite que um invasor injete código SQL manipulando o parâmetro title em uma solicitação HTTP especialmente criada.

Recomendações

Para o WWBN AVideo versão 11.6, considere restringir o acesso ao plug-in Live Schedules até que uma correção esteja disponível.

Como solução alternativa temporária, evite usar o parâmetro title no plug-in afetado para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-33148

Produtos afetados

Live Schedules Plugin

Wwbn Avideo

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/33xxx/CVE-2022-33148.json · Exploit
• https://github.com/WWBN/AVideo/blob/e04b1cd7062e16564157a82bae389eedd39fa088/updatedb/updateDb.v12.0.sql · Nota
• https://talosintelligence.com/vulnerability_reports/TALOS-2022-1551 · Nota
• https://t.me/cibsecurity/48536 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-33148 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-33148 · Nota de Segurança