CVE-2021-3262
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Podatność w systemie TripSpark VEO Transportation i NovusEDU umożliwia wstrzykiwanie SQL przez niesanitowane parametry POST. Atakujący może modyfikować zapytania wyszukiwania informacji o transporcie uczniów.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych uczniów, ich modyfikację lub usunięcie, co może naruszyć prywatność i integralność systemu.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie do najnowszej wersji oraz wdrożyć walidację i sanityzację danych wejściowych po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
TripSpark VEO Transportation-2.2.x-XP_BB-20201123-184084 NovusEDU-2.2.x-XP_BB-20201123-184084 allows unsafe data inputs in POST body parameters from end users without sanitizing using server-side logic. It was possible to inject custom SQL commands into the "Student Busing Information" search queries.