PT-2024-33060 · Wavelog · Wavelog

Publicado 2024-10-14 · Atualizado 2024-10-19 · CVE-2024-48257

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Wavelog versão 1.8.5

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de SQL no arquivo Oqrs model.php, especificamente por meio do parâmetro station id na função get worked modes. Essa vulnerabilidade permite ataques de injeção de SQL.

Recomendações

Para o Wavelog versão 1.8.5, considere desativar a função get worked modes no arquivo Oqrs model.php até que um patch esteja disponível para prevenir ataques de injeção de SQL. Restrinja o acesso ao arquivo Oqrs model.php para minimizar o risco de exploração. Evite usar o parâmetro station id na função afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-48257

Produtos afetados

Wavelog

Referências · 11

• 🔥 https://chiggerlor.substack.com/p/unauthenticated-sql-injection-in · Exploit
• https://github.com/wavelog/wavelog/commit/0bf2675d93602b591850790c8fcfced886eca423 · Correção
• https://twitter.com/cracbot/status/1847518105767190917 · Publicação no Twitter
• https://twitter.com/cracbot/status/1846793367730246004 · Publicação no Twitter
• https://t.me/cvenotify/98281 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-48257 · Aviso do Fabricante
• https://t.me/cvedetector/7819 · Publicação no Telegram
• https://wavelog.org · Nota
• https://twitter.com/CVEnew/status/1845839901755105288 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-48257 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1845873792175731001 · Publicação no Twitter