CVE-2023-33178
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W systemie zarządzania treścią Xibo odkryto podatność na wstrzykiwanie SQL w API `/dataset/data/{id}`. Umożliwia to uwierzytelnionemu użytkownikowi wykradanie danych z bazy danych Xibo poprzez wstrzykiwanie specjalnie przygotowanych wartości w parametrze `filter`.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do wrażliwych danych w bazie danych, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 2.3.17 lub 3.3.5, które naprawiają tę podatność. Nie ma innych sposobów na zabezpieczenie się przed tym problemem poza aktualizacją.
Oryginalny opis (angielski, źródło NVD)
Xibo is a content management system (CMS). An SQL injection vulnerability was discovered in the `/dataset/data/{id}` API route inside the CMS starting in version 1.4.0 and prior to versions 2.3.17 and 3.3.5. This allows an authenticated user to exfiltrate data from the Xibo database by injecting specially crafted values in to the `filter` parameter. Values allowed in the filter parameter are checked against a deny list of commands that should not be allowed, however this checking was done in a case sensitive manor and so it is possible to bypass these checks by using unusual case combinations. Users should upgrade to version 2.3.17 or 3.3.5, which fix this issue. There are no workarounds aside from upgrading.