CVE-2020-28860
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika, włączając je do zapytań SQL, co umożliwia uwierzytelnioną ślepą iniekcję SQL.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do bazy danych przez uwierzytelnionego atakującego, co może prowadzić do wycieku wrażliwych danych lub ich modyfikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację OpenAsset DAM do najnowszej dostępnej wersji oraz wdrożenie walidacji i parametryzacji zapytań SQL.
Inne podatności w OpenAsset Digital Asset Management
Zobacz wszystkie- CVE-2020-28859Średnie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia odbite ataki typu cross-site scripting (XSS).
- CVE-2020-28858Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nie weryfikuje poprawnie, czy żądanie do aplikacji zostało celowo wykonane przez użytkownika, co umożliwia ataki cross-site request forgery (CSRF) na wszystkie funkcje użytkownika.
- CVE-2020-28857Średnie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia ataki typu stored cross-site scripting (XSS).
- CVE-2020-28856Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo określa źródłowy adres IP żądania HTTP, umożliwiając atakującym jego sfałszowanie za pomocą nagłówka X-Forwarded-For, np. poprzez podanie adresu localhost 127.0.0.1, co skutecznie omija wszelkie mechanizmy kontroli dostępu oparte na adresie IP.
Oryginalny opis (angielski, źródło NVD)
OpenAssetDigital Asset Management (DAM) through 12.0.19 does not correctly sanitize user supplied input, incorporating it into its SQL queries, allowing for authenticated blind SQL injection.