CVE-2022-38619
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W SmartVista SVFE2 w wersji 2.2.22 wykryto podatność na wstrzykiwanie SQL przez parametr UserForm:j_id90 w ścieżce /SVFE2/pages/feegroups/mcc_group.jsf. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
Ocena ryzyka
Ryzyko obejmuje potencjalny wyciek wrażliwych danych, modyfikację lub usunięcie rekordów w bazie danych oraz eskalację uprawnień w systemie SmartVista.
Rekomendacja
Należy natychmiast zaktualizować SmartVista SVFE2 do najnowszej wersji oraz zastosować parametryzację zapytań SQL lub walidację wejścia dla parametru UserForm:j_id90.
Oryginalny opis (angielski, źródło NVD)
SmartVista SVFE2 v2.2.22 was discovered to contain a SQL injection vulnerability via the UserForm:j_id90 parameter at /SVFE2/pages/feegroups/mcc_group.jsf.