Katalog CVE
CVE-2017-14396
KrytyczneStreszczenie
W osTicket przed wersją 1.10.1 możliwe jest wstrzykiwanie SQL poprzez skonstruowanie tablicy za pomocą nawiasów kwadratowych na końcu nazwy parametru, co zostało zademonstrowane przez parametr key w pliku file.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych zapytań do bazy danych, co może prowadzić do ujawnienia wrażliwych danych lub kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację osTicket do wersji 1.10.1 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
In osTicket before 1.10.1, SQL injection is possible by constructing an array via use of square brackets at the end of a parameter name, as demonstrated by the key parameter to file.php.