PT-2022-22411
CVE-2022-34876
·
Publicado
2022-07-05
·
Atualizado
2022-07-13
Descrição por
CVSS 3.1
8.8
AltaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do VICIdial anteriores à 3555
Descrição
O problema está relacionado a uma vulnerabilidade de injeção de SQL na interface de administração do VICIdial, afetando especificamente o endpoint
/vicidial/admin.php por meio dos parâmetros modify email accounts, access recordings e agentcall email. Isso permite que um invasor falsifique identidades, altere dados existentes, divulgue todos os dados do sistema, destrua dados ou assuma o controle do servidor de banco de dados.Recomendações
Para versões do VICIdial anteriores à 3555, atualize para uma versão que inclua a correção para este problema a fim de evitar a exploração. Como solução temporária, considere restringir o acesso ao endpoint
/vicidial/admin.php e limitar o uso dos parâmetros modify email accounts, access recordings e agentcall email até que um patch esteja disponível.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾