Aktywnie wykorzystywana w atakach

Schneider Electric U.motion Builder SQL Injection Vulnerability

Schneider Electric - U.motion Builder · Figuruje w katalogu CISA KEV od 2022-04-15. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: The impacted product is end-of-life and should be disconnected if still in use.

CVE-2018-7841

KrytyczneCVSS 9.8KEV

Opublikowano: 22/05/2019(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

W oprogramowaniu U.motion Builder w wersji 1.3.4 występuje podatność typu SQL Injection (CWE-89). Może ona spowodować niepożądane wykonanie kodu po wprowadzeniu niewłaściwego zestawu znaków.

Ocena ryzyka

Atakujący może wykonać dowolny kod na systemie, co prowadzi do przejęcia kontroli nad aplikacją. Ryzyko jest wysokie, ponieważ podatność może być wykorzystana zdalnie.

Rekomendacja

Zaktualizuj U.motion Builder do najnowszej wersji zawierającej poprawki. Zaleca się również weryfikację danych wejściowych i monitorowanie nietypowych zapytań SQL.

Inne podatności w U.motion Builder

CVE-2017-7973Krytyczne
W oprogramowaniu U.motion Builder firmy Schneider Electric w wersjach 1.2.1 i wcześniejszych występuje podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym użytkownikom na wykonywanie dowolnych poleceń SQL w bazie danych.

Oryginalny opis (angielski, źródło NVD)

A SQL Injection (CWE-89) vulnerability exists in U.motion Builder software version 1.3.4 which could cause unwanted code execution when an improper set of characters is entered.