PT-2022-24172 · Go-Ibax · Go-Ibax
Tomy
·
Publicado
2022-11-01
·
Atualizado
2024-06-05
·
CVE-2022-3802
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do go-ibax a partir dos commits de 18 de julho de 2020
Descrição
Foi identificada uma falha crítica no go-ibax, que permite a injeção de SQL. Isso se deve à manipulação do argumento
where no endpoint /api/v2/open/rowsInfo, que pode ser iniciada remotamente. A vulnerabilidade afeta o arquivo /packages/api/database.go e pode levar à falsificação de identidade, adulteração de dados, divulgação de todos os dados no sistema, destruição de dados ou indisponibilização de dados, além de permitir que invasores se tornem administradores do servidor de banco de dados.Recomendações
Para versões a partir dos commits de 18 de julho de 2020, considere desativar o parâmetro
where no endpoint /api/v2/open/rowsInfo como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao arquivo /packages/api/database.go para minimizar o risco de exploração. Evite usar o parâmetro where no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Improper Neutralization
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Go-Ibax