CVE-2022-45207
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie updateNullByEmptyString. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Jeecg-boot do najnowszej wersji oraz zastosowanie odpowiednich poprawek bezpieczeństwa. Należy również przejrzeć i zabezpieczyć wszystkie punkty końcowe korzystające z komponentu updateNullByEmptyString.
Inne podatności w Jeecg-boot
Zobacz wszystkie- CVE-2023-38992Krytyczne
W wersji 3.5.1 jeecg-boot odkryto podatność na wstrzyknięcie SQL poprzez parametr title w ścieżce /sys/dict/loadTreeData.
- CVE-2023-34659Krytyczne
Wersje 3.5.0 i 3.5.1 jeecg-boot zawierają podatność na wstrzyknięcie SQL w parametrze id interfejsu /jeecg-boot/jmreport/show.
- CVE-2022-45206Krytyczne
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/duplicate/check. Atakujący może wykorzystać ten błąd do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2023-38905Średnie
Wersja 3.5.0 i wcześniejsze Jeecg-boot zawierają podatność na atak typu SQL injection, która pozwala lokalnemu atakującemu na wywołanie odmowy usługi za pomocą funkcji takich jak Benchmark, PG_Sleep, DBMS_Lock.Sleep, Waitfor, DECODE oraz DBMS_PIPE.RECEIVE_MESSAGE.
- CVE-2022-45210Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/user/deleteRecycleBin. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych.
- CVE-2022-45208Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/user/putRecycleBin. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2022-45205Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/dict/queryTableData. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Oryginalny opis (angielski, źródło NVD)
Jeecg-boot v3.4.3 was discovered to contain a SQL injection vulnerability via the component updateNullByEmptyString.