CVE-2016-4999

Krytyczne

Opublikowano: 05/08/2016(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

W podatności CVE-2016-4999 występuje luka typu SQL injection w metodzie getStringParameterSQL w Dashbuilder przed wersją 0.6.0.Beta1. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez filtr wyszukiwania zestawu danych w interfejsie edytora autorów zestawów danych lub edytora wyświetlacza.

Ocena ryzyka

Atakujący może wykorzystać tę lukę do przejęcia kontroli nad bazą danych, co może prowadzić do ujawnienia danych lub ich modyfikacji. Ryzyko to może poważnie wpłynąć na integralność i poufność danych w organizacji.

Rekomendacja

Zaleca się aktualizację Dashbuilder do wersji 0.6.0.Beta1 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa aplikacji w celu identyfikacji innych potencjalnych luk.

Oryginalny opis (angielski, źródło NVD)

SQL injection vulnerability in the getStringParameterSQL method in main/java/org/dashbuilder/dataprovider/sql/dialect/DefaultDialect.java in Dashbuilder before 0.6.0.Beta1 allows remote attackers to execute arbitrary SQL commands via a data set lookup filter in the (1) Data Set Authoring or (2) Displayer editor UI.