CVE-2022-44291
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 88 - wyżej niż 88% wszystkich znanych CVE
Streszczenie
W webTareas 2.4p5 wykryto podatność na wstrzykiwanie SQL w pliku phasesets.php poprzez parametr id. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wrażliwych danych, ich modyfikacji lub usunięcia, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować webTareas do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy zastosować walidację i sanityzację parametru id w pliku phasesets.php.
Inne podatności w webTareas
Zobacz wszystkie- CVE-2022-44290Krytyczne
W webTareas 2.4p5 wykryto podatność na wstrzykiwanie SQL w pliku deleteapprovalstages.php poprzez parametr id. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2022-44962Średnie
W webtareas 2.4p5 wykryto podatność na atak XSS w komponencie /calendar/viewcalendar.php. Luka umożliwia atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML w pole Subject.
- CVE-2022-44961Średnie
W webtareas 2.4p5 odkryto podatność na atak XSS w komponencie /forums/editforum.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML w pole Name.
- CVE-2022-44960Średnie
W webtareas 2.4p5 wykryto podatność na atak XSS w komponencie /general/search.php?searchtype=simple. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole wyszukiwania, co prowadzi do wykonania skryptów w przeglądarce ofiary.
- CVE-2022-44959Średnie
W webtareas 2.4p5 wykryto podatność na atak XSS w komponencie /meetings/listmeetings.php. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarce ofiary.
- CVE-2022-44957Średnie
W webtareas 2.4p5 odkryto podatność na atak XSS w komponencie /clients/listclients.php. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarce ofiary.
- CVE-2022-44956Średnie
W webtareas 2.4p5 odkryto podatność na atak XSS w komponencie /projects/listprojects.php. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML w pole Name, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.
- CVE-2022-44955Średnie
W webtareas 2.4p5 wykryto podatność na atak XSS w funkcji czatu. Luka umożliwia atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML w pole wiadomości.
- CVE-2022-44954Średnie
W webtareas 2.4p5 odkryto podatność na atak XSS w komponencie /contacts/listcontacts.php. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML w pole Last Name podczas dodawania kontaktu.
- CVE-2022-44953Średnie
W webtareas 2.4p5 wykryto podatność na atak XSS w komponencie /linkedcontent/listfiles.php. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML w pole Name po kliknięciu 'Add'.
Oryginalny opis (angielski, źródło NVD)
webTareas 2.4p5 was discovered to contain a SQL injection vulnerability via the id parameter in phasesets.php.