CVE-2021-37291
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0. Atakujący może wstrzyknąć złośliwe zapytania SQL przez parametr input_id w żądaniu POST do pliku index.php.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do bazy danych, wyciek wrażliwych danych oraz potencjalne przejęcie kontroli nad systemem zarządzania energią budynku.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. W międzyczasie zaleca się walidację i sanityzację wszystkich danych wejściowych, szczególnie parametru input_id.
Oryginalny opis (angielski, źródło NVD)
An SQL Injection vulnerability exists in KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0 ivia the input_id POST parameter in index.php.