CVE-2020-13588

Aplicativo de gerenciamento de projetos Rukovoditel, versão 2.7.2

Existe uma vulnerabilidade de injeção de SQL explorável na página ‘entities/fields’. O parâmetro heading field id nesta página está vulnerável a injeção de SQL autenticada. Um invasor pode fazer solicitações HTTP autenticadas para acionar essa vulnerabilidade, o que pode ser feito tanto com credenciais de administrador quanto por meio de falsificação de solicitação entre sites (CSRF).

Para a versão 2.7.2, como solução temporária, considere restringir o acesso à página ‘entities/fields’ até que uma correção esteja disponível. Evite usar o parâmetro heading field id na página afetada para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.