CVE-2022-45206
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/duplicate/check. Atakujący może wykorzystać ten błąd do wykonania nieautoryzowanych zapytań do bazy danych.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży, modyfikacji lub usunięcia danych w bazie danych, co może prowadzić do naruszenia poufności i integralności informacji organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Jeecg-boot do najnowszej wersji, która zawiera poprawkę tej luki. Należy również przejrzeć i zabezpieczyć wszystkie punkty końcowe API przed wstrzykiwaniem SQL.
Inne podatności w Jeecg-boot
Zobacz wszystkie- CVE-2023-38992Krytyczne
W wersji 3.5.1 jeecg-boot odkryto podatność na wstrzyknięcie SQL poprzez parametr title w ścieżce /sys/dict/loadTreeData.
- CVE-2023-34659Krytyczne
Wersje 3.5.0 i 3.5.1 jeecg-boot zawierają podatność na wstrzyknięcie SQL w parametrze id interfejsu /jeecg-boot/jmreport/show.
- CVE-2022-45207Krytyczne
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie updateNullByEmptyString. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
- CVE-2023-38905Średnie
Wersja 3.5.0 i wcześniejsze Jeecg-boot zawierają podatność na atak typu SQL injection, która pozwala lokalnemu atakującemu na wywołanie odmowy usługi za pomocą funkcji takich jak Benchmark, PG_Sleep, DBMS_Lock.Sleep, Waitfor, DECODE oraz DBMS_PIPE.RECEIVE_MESSAGE.
- CVE-2022-45210Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/user/deleteRecycleBin. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych.
- CVE-2022-45208Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/user/putRecycleBin. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2022-45205Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/dict/queryTableData. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Oryginalny opis (angielski, źródło NVD)
Jeecg-boot v3.4.3 was discovered to contain a SQL injection vulnerability via the component /sys/duplicate/check.