PT-2024-30647 · Unknown · Easytest Online Test Platform

Cheng Ying Hsieh + 1 · Publicado 2024-09-01 · Atualizado 2024-09-05 · CVE-2024-43775

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plataforma de testes online Easytest, versões 24E01 e anteriores

Descrição

A vulnerabilidade permite que usuários remotos autenticados executem comandos SQL arbitrários por meio do parâmetro search na função de pesquisa de títulos de cursos. Isso possibilita que invasores executem comandos SQL maliciosos, o que pode levar a vazamentos de dados ou outros incidentes de segurança.

Recomendações

Para as versões 24E01 e anteriores, considere desativar temporariamente a função de pesquisa até que uma correção esteja disponível. Restrinja o acesso ao parâmetro search para minimizar o risco de exploração. Evite usar o parâmetro search na função afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-43775

Produtos afetados

Easytest Online Test Platform

Referências · 9

• https://twitter.com/CVEnew/status/1830460398161797148 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-43775 · Nota de Segurança
• https://t.me/cvedetector/4597 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/1090 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-43775 · Aviso do Fabricante
• https://zuso.ai/advisory/za-2024-08 · Nota
• https://twitter.com/CveFindCom/status/1830463809342861452 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1831795969135870121 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1830564931197940172 · Publicação no Twitter