PT-2024-2256 · Microsoft · Django Backend For Sql Server

Federico Martinez · Publicado 2024-03-12 · Atualizado 2024-12-06 · CVE-2024-26164

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Microsoft Django Backend for SQL Server (versões afetadas não especificadas)

Descrição

O problema está relacionado à falha na proteção da estrutura da consulta SQL ao processar um parâmetro não sanitizado, o que pode ser explorado por um invasor remoto para executar código arbitrário por meio de uma consulta especialmente criada.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SQL injection

RCE

Enumeração de Fraquezas

CWE-89

CWE-20

Identificadores relacionados

BDU:2024-02189

CVE-2024-26164

GHSA-VMQV-47J8-GWV8

Produtos afetados

Django Backend For Sql Server

Referências · 13

• https://github.com/microsoft/mssql-django · Nota
• https://github.com/microsoft/mssql-django/pull/358/commits/cdbf4f6f0280e57ba625b9fd3d2c0b5202f7379f · Nota
• https://github.com/microsoft/mssql-django/releases/tag/1.4.1 · Nota
• https://security.snyk.io/vuln/SNYK-PYTHON-MSSQLDJANGO-6438129 · Nota
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-26164 · Aviso do Fabricante
• https://cybersecurity-help.cz/vdb/SB2024031235 · Nota
• https://osv.dev/vulnerability/CVE-2024-26164 · Aviso do Fabricante
• https://pypi.org/project/mssql-django/1.4.1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-26164 · Nota de Segurança
• https://cvedetails.com/cve/CVE-2024-26164 · Nota
• https://osv.dev/vulnerability/GHSA-vmqv-47j8-gwv8 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-02189 · Nota de Segurança
• https://t.me/cvenotify/103367 · Publicação no Telegram