CVE-2016-7803
WysokieStreszczenie
Podatność na wstrzykiwanie SQL w Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym, uwierzytelnionym atakującym na wykonywanie dowolnych poleceń SQL za pomocą funkcji 'MultiReport'.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych danych lub zmodyfikować bazę danych, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Cybozu Garoon, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa aplikacji.
Inne podatności w Cybozu Garoon
Zobacz wszystkie- CVE-2016-4907Wysokie
Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym atakującym na uzyskanie tokenów CSRF za pomocą nieokreślonych wektorów.
- CVE-2016-1218Wysokie
W podatności CVE-2016-1218 występuje luka typu SQL injection w Cybozu Garoon przed wersją 4.2.2.
- CVE-2016-1193Wysokie
Cybozu Garoon w wersjach od 3.7 do 4.2 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji dotyczących odczytu e-maili poprzez nieokreślone wektory.
- CVE-2016-1189Wysokie
Cybozu Garoon w wersjach 3.x i 4.x przed 4.2.1 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dotyczących odczytu, tworzenia lub modyfikacji portletu za pomocą nieokreślonych wektorów.
- CVE-2015-5646Wysokie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP poprzez nieokreślone wektory.
- CVE-2015-5649Wysokie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 niewłaściwie obsługuje żądania uwierzytelnienia, co pozwala zdalnym, uwierzytelnionym użytkownikom przeprowadzać ataki LDAP injection. W rezultacie mogą oni obejść zamierzone ograniczenia logowania lub uzyskać dostęp do wrażliwych informacji, wykorzystując określone uprawnienia administracyjne grupy.
- CVE-2014-1996Wysokie
Cybozu Garoon 3.7 przed SP4 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu oraz na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez wywołanie API.
- CVE-2016-1219Krytyczne
Cybozu Garoon w wersjach przed 4.2.2 pozwala zdalnym atakującym na ominięcie uwierzytelniania logowania poprzez wykorzystanie interfejsu API.
- CVE-2026-57279Średnie
Cybozu Garoon zawiera podatność na cross-site scripting. Jeśli zostanie wykorzystana, może zostać wykonany dowolny skrypt w przeglądarce internetowej zalogowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in the Cybozu Garoon 3.0.0 to 4.2.2 allows remote authenticated attackers to execute arbitrary SQL commands via "MultiReport" function.