PT-2024-39940 · Qplant Sf · Qplant Sf

Adrián Marín Villar · Publicado 2024-10-15 · Atualizado 2024-10-19 · CVE-2024-9925

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

QPLANT SF versão 1.0

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de SQL. A exploração dessa vulnerabilidade poderia permitir que um invasor remoto recuperasse todas as informações do banco de dados enviando uma consulta SQL especialmente criada para o parâmetro email no endpoint “RequestPasswordChange”.

Recomendações

Para o QPLANT SF versão 1.0, como solução temporária, considere validar as entradas do usuário e restringir o acesso ao endpoint “RequestPasswordChange” até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-9925

Produtos afetados

Qplant Sf

Referências · 11

• https://twitter.com/VulmonFeeds/status/1846140138495037916 · Publicação no Twitter
• https://t.me/cvenotify/98038 · Publicação no Telegram
• https://twitter.com/oktsec/status/1846153479481418225 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-9925 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1846112449381949926 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1846114227339038810 · Publicação no Twitter
• https://t.me/cvedetector/7897 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/1331 · Publicação no Telegram
• https://twitter.com/cracbot/status/1847518157319307316 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-9925 · Nota de Segurança
• https://incibe.es/en/incibe-cert/notices/aviso-sci/sql-injection-qplant-tai-smart-factory · Nota