CVE-2022-24240

KrytyczneCVSS 9.8

Opublikowano: 02/06/2022(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.87%

Percentyl 54 - wyżej niż 54% wszystkich znanych CVE

Streszczenie

W ACEweb Online Portal 3.5.065 wykryto podatność na wstrzykiwanie SQL przez parametr 'criteria' w skrypcie showschedule.awp. Atakujący może manipulować zapytaniami do bazy danych, co może prowadzić do nieautoryzowanego dostępu do danych.

Ocena ryzyka

Ryzyko obejmuje potencjalny wyciek poufnych danych, modyfikację lub usunięcie rekordów w bazie danych oraz możliwość eskalacji uprawnień w systemie.

Rekomendacja

Należy natychmiast zaktualizować ACEweb Online Portal do najnowszej wersji oraz zastosować parametryzację zapytań SQL lub użyć prepared statements w kodzie aplikacji.

Oryginalny opis (angielski, źródło NVD)

ACEweb Online Portal 3.5.065 was discovered to contain a SQL injection vulnerability via the criteria parameter in showschedule.awp.