CVE-2021-39378

openSIS versão 8.0

Existe uma vulnerabilidade de injeção de SQL, permitindo que um invasor mal-intencionado envie comandos SQL ao banco de dados por meio do parâmetro str no arquivo NamesList.php. Isso se deve à falta de proteção da estrutura da consulta SQL, permitindo que um invasor remoto execute consultas SQL arbitrárias usando o parâmetro NamesList.php.

Para o openSIS versão 8.0, considere restringir o acesso ao arquivo NamesList.php ou ao parâmetro str para minimizar o risco de exploração até que um patch esteja disponível. Como solução alternativa temporária, desativar o uso do MySQL (MariaDB) como banco de dados da aplicação também pode reduzir o risco, mas isso deve ser cuidadosamente considerado devido a possíveis impactos na funcionalidade da aplicação. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.