PT-2024-7519 · Unknown · Python-Sql

Cédric Krier · Publicado 2024-09-24 · Atualizado 2025-02-07 · CVE-2024-9774

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:P/A:P

Nome do software vulnerável e versões afetadas

python-sql (versões afetadas não especificadas)

Descrição

Foi identificada uma vulnerabilidade no python-sql em que os operadores unários não escapam de expressões que não sejam de tipo Expression, como And e Or. Isso torna qualquer sistema que utilize esses operadores vulnerável a um ataque de injeção de SQL, permitindo que um invasor remoto execute código SQL arbitrário.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-150

CWE-89

CWE-76

Identificadores relacionados

BDU:2024-08916

CVE-2024-9774

DLA-3932-1

DSA-5795-1

GHSA-PQ9P-PC3P-9HM4

OPENSUSE-SU-2024:0412-1

OPENSUSE-SU-2024:0413-1

Produtos afetados

Python-Sql

Referências · 31

• https://github.com/tryton/python-sql · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-9774 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-9774 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-08916 · Nota de Segurança
• https://bugs.tryton.org/python-sql/93 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2024:0412-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-9774 · Aviso do Fabricante
• https://bugzilla.suse.com/1234653 · Nota
• https://lists.debian.org/debian-lts-announce/2024/10/msg00023.html · Nota
• https://bugzilla.redhat.com/show_bug.cgi?id=2332734 · Nota
• https://access.redhat.com/security/cve/CVE-2024-9774 · Nota
• https://discuss.tryton.org/t/security-release-for-issue-93 · Nota
• https://osv.dev/vulnerability/DLA-3932-1 · Aviso do Fabricante
• https://t.me/cvenotify/105561 · Publicação no Telegram
• https://t.me/cvenotify/110329 · Publicação no Telegram