PT-2021-18756
CVE-2021-30486
·
Publicado
2021-07-22
·
Atualizado
2021-07-31
Descrição por
CVSS 3.1
8.8
AltaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
SysAid versão 20.3.64 b14
Descrição
O problema está relacionado à injeção SQL do tipo Blind e Stacker. Ele pode ser explorado por meio de vários pontos de extremidade da API, incluindo “AssetManagementChart.jsp” com os parâmetros
computerID ou group1, “AssetManagementList.jsp” com os parâmetros computerID ou group1 e “AssetManagementSummary.jsp” com o parâmetro group1.Recomendações
Para a versão 20.3.64 b14 do SysAid, considere desativar o acesso aos pontos de extremidade da API vulneráveis, como “AssetManagementChart.jsp”, “AssetManagementList.jsp” e “AssetManagementSummary.jsp”, até que uma correção esteja disponível. Restrinja o uso dos parâmetros
computerID e group1 nesses pontos de extremidade para minimizar o risco de exploração.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾