PT-2021-22104
CVE-2021-38390
·
Publicado
2021-08-30
·
Atualizado
2021-09-07
Descrição por
CVSS 2.0
10
CríticaMétricasAV:N/AC:L/Au:N/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Delta Electronics DIAEnergie versões 1.7.5 e anteriores
Descrição
Existe uma vulnerabilidade de injeção SQL cega devido à validação inadequada do valor controlado pelo usuário fornecido através do parâmetro
egyid no endpoint “/DataHandler/HandlerEnergyType.ashx”. Isso permite que um invasor remoto não autenticado execute código arbitrário no contexto de NT SERVICEMSSQLSERVER.Recomendações
Para as versões 1.7.5 e anteriores do Delta Electronics DIAEnergie, considere restringir o acesso ao endpoint “/DataHandler/HandlerEnergyType.ashx” até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o parâmetro
egyid no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾