CVE-2021-32983

Delta Electronics DIAEnergie versões 1.7.5 e anteriores

Existe uma vulnerabilidade de injeção SQL cega devido à validação inadequada do valor controlado pelo usuário fornecido através do parâmetro keyword no endpoint “/DataHandler/Handler CFG.ashx”. Isso permite que um invasor remoto não autenticado execute código arbitrário no contexto de NT SERVICEMSSQLSERVER.

Para as versões 1.7.5 e anteriores do Delta Electronics DIAEnergie, considere desativar o acesso ao endpoint “/DataHandler/Handler CFG.ashx” até que um patch esteja disponível. Restrinja o uso do parâmetro keyword para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.