PT-2020-18943

CVE-2020-6129

·

Publicado

2020-09-01

·

Atualizado

2022-05-31

Descrição por

CVSS 3.1
8.8
Alta
MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
openSIS versão 7.3
Descrição
O problema diz respeito a vulnerabilidades de injeção de SQL nos parâmetros course period id utilizados nas páginas do openSIS, especificamente na página CpSessionSet.php. Um invasor pode explorar essa vulnerabilidade realizando uma solicitação HTTP autenticada.
Recomendações
Para o openSIS versão 7.3, considere restringir o acesso à página CpSessionSet.php e evite usar o parâmetro course period id nessa página até que uma correção esteja disponível. Como solução temporária, restrinja o parâmetro course period id para minimizar o risco de exploração.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')
Identificadores relacionados
CVE-2020-6129
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com