PT-2025-17872 · Unknown · Sherpa Orchestrator
Artem Brylev
·
Publicado
2025-04-25
·
Atualizado
2025-10-16
·
CVE-2025-46546
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Sherpa Orchestrator versão 141851
Descrição
O problema permite que um usuário autenticado realize múltiplas injeções de SQL cegas baseadas em tempo. Isso afeta vários endpoints da API, incluindo "api/gui/asset/list", "api/gui/files/export/csv/", "api/gui/files/list", "api/gui/process/export/csv", "api/gui/process/export/xlsx", "api/gui/process/listAll", "api/gui/processVersion/export/csv/", "api/gui/processVersion/export/xlsx/", "api/gui/processVersion/list/", "api/gui/robot/list/", "api/gui/task/export/csv/", "api/gui/task/export/xlsx/", e "api/gui/task/list/".
Recomendações
Como solução temporária, considere restringir o acesso aos endpoints da API afetados até que um patch esteja disponível. Evite usar dados sensíveis nos endpoints afetados para minimizar o risco de exploração. Atualize para uma versão que inclua uma correção para este problema quando disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Sherpa Orchestrator