CVE-2024-9574

SQL Injection w SOPlanning — dostęp do całej bazy danych

CVSS 9.8v3.1pub. 2024-10-07upd. 2024-10-08

Krytyczna podatność typu SQL injection w aplikacji SOPlanning w wersjach poniżej 1.45 umożliwia nieuwierzytelnionemu atakującemu odczyt całej zawartości bazy danych. Ze względu na brak wymagań dotyczących uwierzytelnienia oraz sieciowy charakter ataku, zagrożenie jest oceniane jako krytyczne (CVSS 9.8).

▸ Pokaż oryginał (EN)

SQL injection vulnerability in SOPlanning <1.45, via /soplanning/www/user_groupes.php in the by parameter, which could allow a remote user to submit a specially crafted query, allowing an attacker to retrieve all the information stored in the DB.

🤖 Analiza AI

Jak działa

Podatność występuje w pliku /soplanning/www/user_groupes.php, w którym parametr 'by' nie jest odpowiednio walidowany ani escapowany przed użyciem w zapytaniu SQL. Zdalny atakujący może przesłać specjalnie spreparowane zapytanie HTTP zawierające złośliwy payload SQL. W wyniku tego możliwe jest wykonanie dowolnych zapytań do bazy danych bez konieczności posiadania jakichkolwiek uprawnień w aplikacji.

Skutki

Atakujący może odczytać wszystkie dane przechowywane w bazie danych aplikacji SOPlanning, w tym potencjalnie dane uwierzytelniające użytkowników, informacje o projektach oraz inne wrażliwe dane organizacyjne. W zależności od konfiguracji środowiska możliwa jest również modyfikacja lub usunięcie danych (CWE-89).

Mitygacja

Należy niezwłocznie zaktualizować SOPlanning do wersji 1.45 lub nowszej. Szczegółowe informacje dostępne są w referencjach producenta oraz w ogłoszeniu INCIBE-CERT: https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-soplanning

Kogo dotyczy

SOPlanning w wersjach poniżej 1.45

Uwagi

Podatność została ujawniona przez INCIBE-CERT (Hiszpańskie Narodowe Centrum Reagowania na Incydenty Cyberbezpieczeństwa). Opis wskazuje na wiele podatności w SOPlanning — niniejsza karta dotyczy wyłącznie CVE-2024-9574.