PT-2024-27176 · Unknown · Boelter Blue System Management

Deadlydata + 1 · Publicado 2024-06-12 · Atualizado 2024-07-03 · CVE-2024-36840

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Boelter Blue System Management versão 1.3

Descrição

A vulnerabilidade permite que um invasor remoto execute código arbitrário e obtenha informações confidenciais. Isso é possível por meio do parâmetro id nas páginas “news details.php” e “location details.php”, e do parâmetro section na página “services.php”.

Recomendações

Para o Boelter Blue System Management versão 1.3, evite usar o parâmetro id nos pontos de extremidade da API “news details.php” e “location details.php”, e o parâmetro section no ponto de extremidade “services.php” até que o problema seja resolvido. Considere restringir o acesso a esses pontos de extremidade para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-36840

Produtos afetados

Boelter Blue System Management

Referências · 7

• https://play.google.com/store/apps/details?id=com.anchor5digital.anchor5adminapp&hl=en_US · Nota
• https://sploitus.com/exploit?id=PACKETSTORM:178978 · Nota
• https://infosec-db.github.io/CyberDepot/vuln_boelter_blue · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-36840 · Nota de Segurança
• http://seclists.org/fulldisclosure/2024/Jun/0 · Nota
• https://vuldb.com/?id.267594 · Nota
• https://packetstormsecurity.com/files/178978/Boelter-Blue-System-Management-1.3-SQL-Injection.html · Nota