PT-2024-13617 · Archibus · Archibus

Elliot Rasch · Publicado 2024-02-02 · Atualizado 2025-06-03 · CVE-2023-48645

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Aplicativo Archibus versão 4.0.3 para iOS

Descrição

Foi detectada uma falha no aplicativo Archibus, que utiliza um banco de dados local sincronizado com uma instância do servidor central na Web. Existe uma vulnerabilidade de injeção de SQL no recurso de pesquisa de solicitações de trabalho do módulo de Manutenção do aplicativo, permitindo que consultas sejam realizadas no banco de dados local.

Recomendações

Para a versão 4.0.3 do aplicativo Archibus, considere desativar o recurso de pesquisa de solicitações de trabalho no módulo Manutenção como uma solução temporária até que uma correção esteja disponível. Restrinja o acesso ao banco de dados local para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2023-48645

Produtos afetados

Archibus

Referências · 8

• https://excellium-services.com/cert-xlm-advisory/CVE-2023-48645 · Nota
• https://t.me/cvenotify/71306 · Publicação no Telegram
• https://cds.thalesgroup.com/en/tcs-cert/CVE-2023-48645 · Nota
• https://twitter.com/CVEnew/status/1753346496794124601 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1753383752095391963 · Publicação no Twitter
• https://t.me/cvenotify/124420 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-48645 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-48645 · Nota de Segurança