PT-2022-6345 · Casdoor · Casdoor
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Casdoor anteriores à 1.13.1
Descrição
A API de consulta do Casdoor apresenta uma vulnerabilidade de injeção de SQL relacionada aos parâmetros
field e value. Isso é demonstrado pelo endpoint “api/get-organizations”. A vulnerabilidade pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas devido à proteção inadequada da estrutura da consulta SQL.Recomendações
Para versões anteriores à 1.13.1, atualize para a versão 1.13.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à API de consulta ou desativar o uso dos parâmetros
field e value no endpoint afetado até que um patch seja aplicado.Exploit
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Casdoor