CVE-2020-35276
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 72 - wyżej niż 72% wszystkich znanych CVE
Streszczenie
W aplikacji EgavilanMedia ECM Address Book 1.0 wykryto podatność na wstrzykiwanie SQL. Umożliwia ona atakującemu ominięcie panelu logowania administratora i uzyskanie pełnego dostępu administracyjnego.
Ocena ryzyka
Atakujący może przejąć kontrolę nad aplikacją, dodawać lub usuwać dowolnych użytkowników, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować aplikację do najnowszej wersji lub zastosować poprawkę eliminującą podatność na wstrzykiwanie SQL. W międzyczasie warto wdrożyć zapory aplikacyjne (WAF) filtrujące zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
EgavilanMedia ECM Address Book 1.0 is affected by SQL injection. An attacker can bypass the Admin Login panel through SQLi and get Admin access and add or remove any user.