BDU:2021-05366

Опубликовано: 22 окт. 2021

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость параметра txtID процедуры xp_cmdshell системы учета рабочего времени и выставления счетов BillQuick Web Suite связана с ошибками при нейтрализации специальных элементов в SQL-запросе. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

BQE Software

Наименование ПО

BillQuick Web Suite

Версия ПО

от 19 до 22.0.9.1 (BillQuick Web Suite)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.huntress.com/blog/threat-advisory-hackers-are-exploiting-a-vulnerability-in-popular-billing-software-to-deploy-ransomware

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-42258
CVE

EPSS

Процентиль: 100%

0.93664

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2021-42258

CVSS3: 9.8

nvd

больше 4 лет назад

BQE BillQuick Web Suite 2018 through 2021 before 22.0.9.1 allows SQL injection for unauthenticated remote code execution, as exploited in the wild in October 2021 for ransomware installation. SQL injection can, for example, use the txtID (aka username) parameter. Successful exploitation can include the ability to execute arbitrary code as MSSQLSERVER$ via xp_cmdshell.

GHSA-69qp-6hh5-mpjp

CVSS3: 9.8

github

больше 3 лет назад

EPSS

Процентиль: 100%

0.93664

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2