Katalog CVE
CVE-2017-11467
KrytyczneStreszczenie
OrientDB w wersjach do 2.2.22 nie egzekwuje wymagań dotyczących uprawnień podczas używania 'where', 'fetchplan' lub 'order by', co pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych za pomocą spreparowanego żądania.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do systemu operacyjnego, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację OrientDB do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie odpowiednich kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
OrientDB through 2.2.22 does not enforce privilege requirements during "where" or "fetchplan" or "order by" use, which allows remote attackers to execute arbitrary OS commands via a crafted request.