CVE-2023-36934
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
W aplikacji webowej MOVEit Transfer przed wersją 2020.1.11 (12.1.11), 2021.0.9 (13.0.9), 2021.1.7 (13.1.7), 2022.0.7 (14.0.7), 2022.1.8 (14.1.8) oraz 2023.0.4 (15.0.4) zidentyfikowano podatność na wstrzykiwanie SQL. Atakujący mógłby wykorzystać tę podatność do nieautoryzowanego dostępu do bazy danych MOVEit Transfer.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa danych, umożliwiając atakującym modyfikację i ujawnienie zawartości bazy danych. Może to prowadzić do utraty poufności i integralności danych w organizacji.
Rekomendacja
Zaleca się aktualizację MOVEit Transfer do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa aplikacji w celu zidentyfikowania i naprawienia innych potencjalnych luk.
Oryginalny opis (angielski, źródło NVD)
In Progress MOVEit Transfer before 2020.1.11 (12.1.11), 2021.0.9 (13.0.9), 2021.1.7 (13.1.7), 2022.0.7 (14.0.7), 2022.1.8 (14.1.8), and 2023.0.4 (15.0.4), a SQL injection vulnerability has been identified in the MOVEit Transfer web application that could allow an unauthenticated attacker to gain unauthorized access to the MOVEit Transfer database. An attacker could submit a crafted payload to a MOVEit Transfer application endpoint that could result in modification and disclosure of MOVEit database content.