CVE-2017-5218
WysokieStreszczenie
W SageCRM 7.x przed wersją 7.3 SP3 odkryto problem z wstrzykiwaniem SQL. Zasób internetowy AP_DocumentUI.asp wykorzystuje Utilityfuncs.js, który tworzy zapytanie SQL do identyfikacji bazy danych używanej w sesji użytkownika, co może prowadzić do nieautoryzowanego dostępu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych danych w bazie danych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację SageCRM do wersji 7.3 SP3 lub nowszej, aby usunąć tę podatność oraz przegląd zabezpieczeń aplikacji webowych.
Inne podatności w SageCRM 7.x przed wersją 7.3 SP3
Oryginalny opis (angielski, źródło NVD)
A SQL Injection issue was discovered in SageCRM 7.x before 7.3 SP3. The AP_DocumentUI.asp web resource includes Utilityfuncs.js when the file is opened or viewed. This file crafts a SQL statement to identify the database that is to be in use with the current user's session. The database variable can be populated from the URL, and when supplied non-expected characters, can be manipulated to obtain access to the underlying database. The /CRM/CustomPages/ACCPAC/AP_DocumentUI.asp?SID=<VALID-SID>&database=1';WAITFOR DELAY '0:0:5'-- URI is a Proof of Concept.