PT-2025-21778 · Unknown · Rsi Queue Management System

Shaikh Shahnawaz + 1 · Publicado 2025-05-17 · Atualizado 2025-06-12 · CVE-2025-26086

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: RSI Queue Management System versão 3.0

Descrição: Existe uma vulnerabilidade de injeção SQL blind não autenticada no parâmetro TaskID do manipulador de requisições GET. Isso permite que atacantes injetem remotamente payloads SQL com atraso de tempo, induzindo atrasos na resposta do servidor e permitindo inferência baseada em tempo e extração iterativa de conteúdos sensíveis do banco de dados sem autenticação.

Recomendações: Para o RSI Queue Management System versão 3.0, considere desativar o parâmetro TaskID no manipulador de requisições GET até que um patch esteja disponível. Restrinja o acesso ao manipulador de requisições GET para minimizar o risco de exploração. Evite utilizar o parâmetro TaskID até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-26086

Produtos afetados

Rsi Queue Management System

Referências · 8

• https://osv.dev/vulnerability/CVE-2025-26086 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1926594155314069824 · Publicação no Twitter
• https://twitter.com/CALIVEDATA/status/1923603104852849106 · Publicação no Twitter
• https://seclists.org/fulldisclosure/2025/May/21 · Nota
• https://twitter.com/dailycve/status/1933225891980575179 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1924837284471362046 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-26086 · Nota de Segurança
• http://seclists.org/fulldisclosure/2025/May/21 · Nota