CVE-2020-5724

Versões da série Grandstream UCM6200 anteriores à 1.0.20.22

A vulnerabilidade permite que um invasor remoto não autenticado execute uma injeção de SQL por meio do endpoint websockify do servidor HTTP. Ao invocar a ação de desafio com um username manipulado, um invasor pode descobrir as senhas dos usuários.

Para as versões da série Grandstream UCM6200 anteriores à 1.0.20.22, atualize para a versão 1.0.20.22 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint websockify até que um patch seja aplicado. Evite usar nomes de usuário criados de forma maliciosa na ação de desafio para minimizar o risco de exploração.