CVE-2023-38992

KrytyczneCVSS 9.8

Opublikowano: 28/07/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

72.04%

Percentyl 99 - wyżej niż 99% wszystkich znanych CVE

Streszczenie

W wersji 3.5.1 jeecg-boot odkryto podatność na wstrzyknięcie SQL poprzez parametr title w ścieżce /sys/dict/loadTreeData.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do bazy danych, co może prowadzić do ujawnienia wrażliwych informacji.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji jeecg-boot oraz weryfikację i filtrowanie danych wejściowych w aplikacji.

Inne podatności w jeecg-boot v3.5.1

Zobacz wszystkie

CVE-2023-34659Krytyczne
Wersje 3.5.0 i 3.5.1 jeecg-boot zawierają podatność na wstrzyknięcie SQL w parametrze id interfejsu /jeecg-boot/jmreport/show.
CVE-2022-45207Krytyczne
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie updateNullByEmptyString. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
CVE-2022-45206Krytyczne
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/duplicate/check. Atakujący może wykorzystać ten błąd do wykonania nieautoryzowanych zapytań do bazy danych.
CVE-2023-38905Średnie
Wersja 3.5.0 i wcześniejsze Jeecg-boot zawierają podatność na atak typu SQL injection, która pozwala lokalnemu atakującemu na wywołanie odmowy usługi za pomocą funkcji takich jak Benchmark, PG_Sleep, DBMS_Lock.Sleep, Waitfor, DECODE oraz DBMS_PIPE.RECEIVE_MESSAGE.
CVE-2022-45210Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/user/deleteRecycleBin. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych.
CVE-2022-45208Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/user/putRecycleBin. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
CVE-2022-45205Średnie
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/dict/queryTableData. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

Oryginalny opis (angielski, źródło NVD)

jeecg-boot v3.5.1 was discovered to contain a SQL injection vulnerability via the title parameter at /sys/dict/loadTreeData.