PT-2024-39224 · Unknown · I-Doit Pro

Adriá Bonilla Martin + 1 · Publicado 2024-09-12 · Atualizado 2024-09-18 · CVE-2024-8749

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

idoit pro versão 28

Descrição:

O problema é uma vulnerabilidade de injeção de SQL que poderia permitir que um invasor enviasse uma consulta especialmente criada para o parâmetro ID em /var/www/html/src/classes/modules/api/model/cmdb/isys api model cmdb objects by relation.class.php e recuperasse todas as informações armazenadas no banco de dados. Essa vulnerabilidade poderia ser explorada remotamente.

Recomendações:

Para o idoit pro versão 28, atualize o software para uma versão que inclua uma correção para este problema. Como solução temporária, considere restringir o acesso ao endpoint da API vulnerável /var/www/html/src/classes/modules/api/model/cmdb/isys api model cmdb objects by relation.class.php para minimizar o risco de exploração. Evite usar o parâmetro ID no endpoint da API afetado até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-8749

Produtos afetados

I-Doit Pro

Referências · 9

• https://incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-synetics-idoit-pro · Nota
• https://twitter.com/CVEnew/status/1834198148132340211 · Publicação no Twitter
• https://t.me/cvedetector/5458 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-8749 · Nota de Segurança
• https://twitter.com/CveFindCom/status/1834200914799870442 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-8749 · Aviso do Fabricante
• https://twitter.com/oktsec/status/1834218996318490716 · Publicação no Twitter
• https://twitter.com/cracbot/status/1835921704373428359 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1834249584903692539 · Publicação no Twitter