PT-2024-22972
CVE-2024-29728
·
Publicado
2024-08-29
·
Atualizado
2024-09-02
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
SportsNET versão 4.0.1
Descrição
O problema diz respeito a vulnerabilidades de injeção de SQL que poderiam permitir que um invasor recuperasse, atualizasse e apagasse todas as informações no banco de dados enviando uma consulta SQL especialmente criada. O endpoint da API vulnerável é “https://XXXXXXX.saludydesafio.com/app/ax/inscribeUsuario/”, e o parâmetro
idDesafio está envolvido.Recomendações
Para a versão 4.0.1, considere desativar o acesso ao endpoint da API vulnerável “https://XXXXXXX.saludydesafio.com/app/ax/inscribeUsuario/” até que um patch esteja disponível. Além disso, restrinja o uso do parâmetro
idDesafio neste endpoint para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾