CVE-2017-5570

Wysokie

Opublikowano: 23/01/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W systemie eClinicalWorks Patient Portal 7.0 build 13 odkryto problem związany z niewidoczną injekcją SQL w pliku messageJson.jsp. Atakujący, będąc zalogowanym użytkownikiem, może wykorzystać tę podatność do wykradania danych z bazy danych za pomocą techniki out-of-band.

Ocena ryzyka

Podatność ta stwarza ryzyko wycieku wrażliwych danych z bazy danych do złośliwego serwera, co może prowadzić do poważnych naruszeń prywatności pacjentów oraz utraty zaufania do systemu.

Rekomendacja

Zaleca się aktualizację systemu eClinicalWorks do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób wykorzystania tej luki.

Inne podatności w eClinicalWorks Patient Portal 7.0 build 13

CVE-2017-5569Krytyczne
W systemie eClinicalWorks Patient Portal 7.0 build 13 odkryto problem związany z niewidoczną injekcją SQL w pliku template.jsp. Atakujący może wykorzystać tę podatność bez potrzeby uwierzytelnienia, wysyłając żądanie HTTP POST, co pozwala na wyciek danych z bazy danych do złośliwego serwera.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in eClinicalWorks Patient Portal 7.0 build 13. This is a blind SQL injection within the messageJson.jsp, which can only be exploited by authenticated users via an HTTP POST request and which can be used to dump database data out to a malicious server, using an out-of-band technique such as select_loadfile().