BDU:2022-06601

Опубликовано: 29 окт. 2021

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Средний

Описание

Уязвимость реализации сценария pages/edit_fields/9_ajax/add_keyword.php системы управления цифровыми активами ResourceSpace связана с непринятием мер по защите структуры запроса SQL при обработке параметра k. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации и выполнить произвольный код

Вендор

Montala Limited

Наименование ПО

ResourceSpace

Версия ПО

9.5 (ResourceSpace)

9.6 (ResourceSpace)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.resourcespace.com/versions

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-41765
CVE

EPSS

Процентиль: 97%

0.36064

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2021-41765

CVSS3: 9.8

nvd

около 4 лет назад

A SQL injection issue in pages/edit_fields/9_ajax/add_keyword.php of ResourceSpace 9.5 and 9.6 < rev 18274 allows remote unauthenticated attackers to execute arbitrary SQL commands via the k parameter. This allows attackers to uncover the full contents of the ResourceSpace database, including user session cookies. An attacker who gets an admin user session cookie can use the session cookie to execute arbitrary code on the server.

GHSA-pgmr-v7pw-5gx5

github

больше 3 лет назад