PT-2024-30648 · Unknown · Easytest Online Test Platform

Cheng Ying Hsieh + 1 · Publicado 2024-09-01 · Atualizado 2024-09-04 · CVE-2024-43776

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plataforma de testes online Easytest, versões 24E01 e anteriores

Descrição

A vulnerabilidade permite que usuários remotos autenticados executem comandos SQL arbitrários por meio do parâmetro qlevel na função de simulado de prova. Isso possibilita que invasores manipulem consultas ao banco de dados, o que pode levar ao acesso ou à modificação não autorizada de dados.

Recomendações

Para as versões 24E01 e anteriores, considere restringir o acesso à função de exame simulado até que uma correção esteja disponível. Como solução temporária, evite usar o parâmetro qlevel na função afetada para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-43776

Produtos afetados

Easytest Online Test Platform

Referências · 8

• https://twitter.com/CVEnew/status/1830460397067108449 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1830565687489622148 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1830463750349959213 · Publicação no Twitter
• https://zuso.ai/advisory/za-2024-09 · Nota
• https://t.me/cvedetector/4590 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-43776 · Nota de Segurança
• https://t.me/latest_high_impact_cve/1090 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-43776 · Aviso do Fabricante