Katalog CVE
CVE-2009-2361
WysokiePrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzyko5.17%
Percentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w pliku include/class.staff.php w osTicket przed wersją 1.6 RC5. Zdalny atakujący może wykonać dowolne polecenia SQL poprzez parametr nazwy użytkownika personelu.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do bazy danych, wycieku poufnych danych oraz potencjalnego przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować osTicket do wersji 1.6 RC5 lub nowszej oraz zastosować parametryzację zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in include/class.staff.php in osTicket before 1.6 RC5 allows remote attackers to execute arbitrary SQL commands via the staff username parameter.