CVE-2017-6550
KrytyczneStreszczenie
W Kinsey Infor-Lawson (dawniej ESBUS) występują wielokrotne podatności na wstrzykiwanie SQL, które umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL. Atak może być przeprowadzony poprzez parametry TABLE lub QUERY.
Ocena ryzyka
Podatności te mogą prowadzić do nieautoryzowanego dostępu do danych oraz ich modyfikacji, co stanowi poważne zagrożenie dla integralności i poufności informacji w organizacji.
Rekomendacja
Zaleca się aktualizację oprogramowania Kinsey Infor-Lawson do najnowszej wersji oraz wdrożenie odpowiednich mechanizmów zabezpieczających przed wstrzykiwaniem SQL.
Oryginalny opis (angielski, źródło NVD)
Multiple SQL injection vulnerabilities in Kinsey Infor-Lawson (formerly ESBUS) allow remote attackers to execute arbitrary SQL commands via the (1) TABLE parameter to esbus/servlet/GetSQLData or (2) QUERY parameter to KK_LS9ReportingPortal/GetData.