CVE-2021-46385

Mingsoft MCMS versões 5.2.5 e anteriores

A vulnerabilidade permite que um invasor obtenha informações confidenciais do banco de dados por meio de uma vulnerabilidade de injeção de SQL. O componente net.mingsoft.mdiy.action.FormDataAction#queryData é afetado, e o vetor de ataque envolve o uso de 0 or sleep(3). Essa vulnerabilidade pode ser explorada remotamente.

Para as versões 5.2.5 e anteriores, como solução temporária, considere restringir o acesso ao endpoint /querydata até que uma correção esteja disponível. Além disso, evite usar a função queryData no componente net.mingsoft.mdiy.action.FormDataAction para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.