PT-2022-24485 · Unknown · Smartvista Svfe2

Dtro + 1 · Publicado 2022-09-19 · Atualizado 2022-09-21 · CVE-2022-38618

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

SmartVista SVFE2 versão 2.2.22

Descrição

Foi detectada uma vulnerabilidade de injeção de SQL no SmartVista SVFE2. A vulnerabilidade está relacionada aos parâmetros UserForm:j id88, UserForm:j id90 e UserForm:j id92 no endpoint “/SVFE2/pages/feegroups/country group.jsf”.

Recomendações

Para o SmartVista SVFE2 versão 2.2.22, como solução temporária, considere restringir o acesso aos parâmetros vulneráveis UserForm:j id88, UserForm:j id90 e UserForm:j id92 no endpoint “/SVFE2/pages/feegroups/country group.jsf” até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-38618

Produtos afetados

Smartvista Svfe2

Referências · 5

• http://bpcbt.com · Nota
• http://smartvista.com · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-38618 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-38618 · Aviso do Fabricante
• https://dtro.gitbook.io/note_cve/sql-injection-in-terminal-tariff-group-feature-of-smartvista-svfe2-version-2.2.22-cve-2022-38618 · Nota