PT-2024-22408 · Knowband · Knowband Spinwheel

CVE-2024-28389 · Publicado 2024-03-19 · Atualizado 2024-08-02

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

KnowBand spinwheel versões 3.0.3 e anteriores

Descrição

A falha permite que um invasor remoto obtenha privilégios elevados e acesse informações confidenciais por meio do método SpinWheelFrameSpinWheelModuleFrontController::sendEmail(). Trata-se de uma vulnerabilidade de injeção de SQL.

Recomendações

Para as versões 3.0.3 e anteriores, como solução temporária, considere desativar a função sendEmail() no SpinWheelFrameSpinWheelModuleFrontController até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-28389

Produtos afetados

Knowband Spinwheel

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2024-28389 · Nota de Segurança
• https://twitter.com/CVEnew/status/1770196830476800119 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1770216910346469879 · Publicação no Twitter
• https://security.friendsofpresta.org/modules/2024/03/12/spinwheel.html · Nota
• https://t.me/cvenotify/88585 · Publicação no Telegram