PT-2024-37971 · Unknown · Limesurvey
Deckard
+1
·
Publicado
2024-07-21
·
Atualizado
2026-01-30
·
CVE-2024-6933
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
LimeSurvey versão 6.5.14-240624
Descrição
Foi identificada uma vulnerabilidade crítica que afeta a função
actionUpdateSurveyLocaleSettingsGeneralSettings do componente Survey General Settings Handler, localizado no arquivo “/index.php?r=admin/database/index/updatesurveylocalesettings generalsettings”. A manipulação do argumento language leva a uma injeção de SQL. Esta vulnerabilidade pode ser explorada remotamente. A exploração já foi divulgada ao público.Recomendações
Para a versão 6.5.14-240624 do LimeSurvey, como solução temporária, considere desativar a função
actionUpdateSurveyLocaleSettingsGeneralSettings até que um patch esteja disponível. Restrinja o acesso ao endpoint “/index.php?r=admin/database/index/updatesurveylocalesettings generalsettings” para minimizar o risco de exploração. Evite usar o argumento language no endpoint afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.Exploit
Correção
Special Elements Injection
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Limesurvey