PT-2024-22261 · Schoolbox · Schoolbox

Akshay Raj · Publicado 2024-03-07 · Atualizado 2024-11-10 · CVE-2024-28094

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Schoolbox anteriores à 23.1.3

Descrição

O problema diz respeito a uma vulnerabilidade de injeção SQL cega na funcionalidade de chat do aplicativo Schoolbox. Essa vulnerabilidade permite que invasores autenticados leiam, modifiquem e excluam registros do banco de dados. A vulnerabilidade está sendo explorada ativamente.

Recomendações

Para versões anteriores à 23.1.3, atualize para a versão 23.1.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de chat até que a atualização seja aplicada.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-28094

Produtos afetados

Schoolbox

Referências · 9

• https://twitter.com/transilienceai/status/1855661371402473569 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1854935983516795012 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-28094 · Aviso do Fabricante
• https://schoolbox.education · Nota
• https://themissinglink.com.au/security-advisories/cve-2024-28094 · Nota
• https://twitter.com/transilienceai/status/1853945042970562835 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1853226115424219197 · Publicação no Twitter
• https://t.me/cvenotify/73214 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-28094 · Nota de Segurança