CVE-2020-3973

WysokieCVSS 8.8

Opublikowano: 08/07/2020(UTC)Zaktualizowano: 28/07/2026(UTC)Przetłumaczono: 28/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.12%

Percentyl 63 - wyżej niż 63% wszystkich znanych CVE

Streszczenie

VeloCloud Orchestrator nie stosuje prawidłowej walidacji danych wejściowych, co umożliwia ślepą iniekcję SQL. Złośliwy użytkownik z dostępem do dzierżawcy VeloCloud Orchestrator może wprowadzić spreparowane zapytania SQL i uzyskać dane, do których nie ma uprawnień.

Ocena ryzyka

Atakujący może nieautoryzowanie odczytać wrażliwe dane z bazy danych, co narusza poufność informacji i może prowadzić do dalszych ataków.

Rekomendacja

Należy zastosować poprawkę od producenta, która wprowadza prawidłową walidację danych wejściowych, aby zapobiec iniekcjom SQL.

Inne podatności w VeloCloud Orchestrator

CVE-2026-16812KrytyczneAktywnie exploitowane
VeloCloud Orchestrator (VCO) on-prem ma podatność umożliwiającą zdalnemu atakującemu dostęp do wewnętrznych funkcji, co może wpłynąć na host VCO. Udane wykorzystanie może naruszyć poufność, integralność i dostępność orkiestratora oraz zarządzanych danych. Podatność jest aktywnie wykorzystywana.

Oryginalny opis (angielski, źródło NVD)

The VeloCloud Orchestrator does not apply correct input validation which allows for blind SQL-injection. A malicious actor with tenant access to Velocloud Orchestrator could enter specially crafted SQL queries and obtain data to which they are not privileged.