CVE-2017-5569
KrytyczneStreszczenie
W systemie eClinicalWorks Patient Portal 7.0 build 13 odkryto problem związany z niewidoczną injekcją SQL w pliku template.jsp. Atakujący może wykorzystać tę podatność bez potrzeby uwierzytelnienia, wysyłając żądanie HTTP POST, co pozwala na wyciek danych z bazy danych do złośliwego serwera.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia nieautoryzowany dostęp do danych w bazie danych, co może prowadzić do utraty poufności informacji pacjentów.
Rekomendacja
Zaleca się aktualizację systemu eClinicalWorks do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych zabezpieczeń, takich jak filtrowanie danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in eClinicalWorks Patient Portal 7.0 build 13. This is a blind SQL injection within the template.jsp, which can be exploited without the need of authentication and via an HTTP POST request, and which can be used to dump database data out to a malicious server, using an out-of-band technique such as select_loadfile().