CVE-2020-13589

Aplicativo de gerenciamento de projetos Rukovoditel, versão 2.7.2

O problema está relacionado a uma vulnerabilidade de injeção de SQL explorável na página ‘entities/fields’. Especificamente, o parâmetro entities id nessa página é vulnerável ao usar as funções multiple edit, copy selected ou export. Essa vulnerabilidade pode ser acionada por meio de solicitações HTTP autenticadas, o que pode ser feito com credenciais de administrador ou por meio de falsificação de solicitação entre sites (CSRF).

Para o aplicativo Rukovoditel Project Management versão 2.7.2, considere restringir o acesso à página ‘entities/fields’ até que uma correção esteja disponível e evite usar o parâmetro entities id nas funções multiple edit, copy selected ou export para minimizar o risco de exploração.