PT-2021-6950

CVE-2021-41677

·

Publicado

2021-11-30

·

Atualizado

2021-11-30

Descrição por

CVSS 3.1
9.8
Crítica
MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
openSIS versão 8.0
Descrição
Existe uma vulnerabilidade de injeção de SQL quando o MySQL ou o MariaDB são utilizados como banco de dados da aplicação, permitindo que um invasor execute comandos SQL através do endpoint “/opensis/functions/GetStuListFnc.php” utilizando o parâmetro Grade. Isso pode permitir que um invasor remoto execute consultas SQL arbitrárias.
Recomendações
Para o openSIS versão 8.0, considere desativar o endpoint /opensis/functions/GetStuListFnc.php ou restringir o acesso ao parâmetro Grade até que uma correção esteja disponível.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')
Identificadores relacionados
CVE-2021-41677
BDU:2022-02721
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com