CVE-2024-53499

SQL Injection w Jeewms v3.7 poprzez CgReportController API

CVSS 9.8v3.1pub. 2025-08-22upd. 2025-09-09

W systemie Jeewms w wersji 3.7 wykryto podatność typu SQL injection w komponencie CgReportController API. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co oznacza możliwość zdalnego ataku bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

Jeewms v3.7 was discovered to contain a SQL injection vulnerability via the CgReportController API.

🤖 Analiza AI

Jak działa

Atakujący może przesłać spreparowane zapytanie HTTP do punktu końcowego CgReportController API, wstrzykując złośliwy kod SQL. Brak odpowiedniej walidacji lub parametryzacji danych wejściowych powoduje, że wstrzyknięty kod jest bezpośrednio interpretowany przez silnik bazy danych. Atak nie wymaga posiadania konta w systemie ani interakcji ze strony użytkownika, a jego przeprowadzenie jest możliwe zdalnie przez sieć.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych, modyfikować lub usuwać dane, a w zależności od konfiguracji serwera bazy danych — potencjalnie przejąć kontrolę nad systemem. Podatność zagraża poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ograniczenie dostępu sieciowego do interfejsu API CgReportController oraz monitorowanie logów pod kątem podejrzanych zapytań SQL.

Kogo dotyczy

Jeewms v3.7

Uwagi

Szczegóły techniczne podatności zostały opublikowane w repozytorium Gitee pod adresem wskazanym w referencjach (https://gitee.com/fushuling/cve/blob/master/CVE-2024-53499.md).