PT-2024-22295
CVE-2024-28145
·
Publicado
2024-12-12
·
Atualizado
2024-12-13
Descrição por
CVSS 3.1
5.9
MédiaMétricasAV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Nome do software vulnerável e versões afetadas
Software (versões afetadas não especificadas)
Descrição
Um invasor não autenticado pode realizar uma injeção de SQL acessando o arquivo “/class/dbconnect.php” e fornecendo parâmetros GET maliciosos. Os parâmetros HTTP GET
search, table, field e value estão vulneráveis. Por exemplo, uma injeção de SQL pode ser realizada no parâmetro field com a palavra-chave UNION.Recomendações
Como solução temporária, considere restringir o acesso ao arquivo “/class/dbconnect.php” até que um patch esteja disponível.
Evite usar os parâmetros
search, table, field e value no endpoint da API afetado até que o problema seja resolvido.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾