Podatność SQL Injection w DerbyNet v9.0 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu. Luka jest krytyczna ze względu na brak wymagań co do uprawnień i możliwość pełnego przejęcia systemu.
▸ Pokaż oryginał (EN)
SQL Injection vulnerability in DerbyNet v9.0 allows a remote attacker to execute arbitrary code via the where Clause in Award Document Rendering.
Atakujący może wstrzyknąć złośliwy kod SQL poprzez klauzulę WHERE wykorzystywaną podczas renderowania dokumentów nagród (Award Document Rendering). Nieprawidłowa walidacja lub brak odpowiedniej sanityzacji danych wejściowych pozwala na manipulację zapytaniami bazodanowymi. Poprzez odpowiednio spreparowane zapytanie możliwe jest wykonanie arbitrary code na serwerze.
Atakujący może uzyskać pełny dostęp do bazy danych (odczyt, modyfikacja, usuwanie danych) oraz wykonać dowolny kod na serwerze, co może prowadzić do całkowitego przejęcia systemu.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również wdrożenie walidacji i sanityzacji danych wejściowych oraz rozważenie stosowania zapytań parametryzowanych (prepared statements) jako doraźnego zabezpieczenia.
DerbyNet v9.0
Szczegółowy opis podatności dostępny jest w publikacji badacza pod adresem https://chocapikk.com/posts/2024/derbynet-vulnerabilities/ oraz w liście Full Disclosure (kwiecień 2024).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HDerbynet
APPDerbynet≤ 9.0
Powiązane podatności
SQL Injection z możliwością RCE w DerbyNet v9.0 i wcześniejszych
Path Traversal z RCE w DerbyNet v.9.0 — komponent kiosk.php
Cross Site Scripting vulnerability in DerbyNet v9.0 and below allows a remote attacker to execute arbitrary co...
SQL Injection vulnerability in DerbyNet v9.0 and below allows attackers to execute arbitrary SQL commands via ...
Cross Site Scripting vulnerability in DerbyNet v9.0 and below allows attackers to execute arbitrary code via t...