CVE-2023-38905
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wersja 3.5.0 i wcześniejsze Jeecg-boot zawierają podatność na atak typu SQL injection, która pozwala lokalnemu atakującemu na wywołanie odmowy usługi za pomocą funkcji takich jak Benchmark, PG_Sleep, DBMS_Lock.Sleep, Waitfor, DECODE oraz DBMS_PIPE.RECEIVE_MESSAGE.
Ocena ryzyka
Podatność ta może prowadzić do poważnych zakłóceń w działaniu systemu, co może wpłynąć na dostępność usług w organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Jeecg-boot, aby usunąć tę podatność oraz monitorowanie systemu pod kątem nieautoryzowanych działań.
Inne podatności w Jeecg-boot
Zobacz wszystkie- CVE-2023-38992Krytyczne
W wersji 3.5.1 jeecg-boot odkryto podatność na wstrzyknięcie SQL poprzez parametr title w ścieżce /sys/dict/loadTreeData.
- CVE-2023-34659Krytyczne
Wersje 3.5.0 i 3.5.1 jeecg-boot zawierają podatność na wstrzyknięcie SQL w parametrze id interfejsu /jeecg-boot/jmreport/show.
- CVE-2022-45207Krytyczne
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie updateNullByEmptyString. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
- CVE-2022-45206Krytyczne
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/duplicate/check. Atakujący może wykorzystać ten błąd do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2022-45210Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/user/deleteRecycleBin. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych.
- CVE-2022-45208Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/user/putRecycleBin. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2022-45205Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/dict/queryTableData. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in Jeecg-boot v.3.5.0 and before allows a local attacker to cause a denial of service via the Benchmark, PG_Sleep, DBMS_Lock.Sleep, Waitfor, DECODE, and DBMS_PIPE.RECEIVE_MESSAGE functions.