CVE-2023-39939
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W podatności CVE-2023-39939 występuje luka typu SQL injection w LuxCal Web Calendar przed wersją 5.2.3M (wersja MySQL) oraz przed wersją 5.2.3L (wersja SQLite). Umożliwia to zdalnemu, nieautoryzowanemu atakującemu wykonywanie dowolnych zapytań do bazy danych, co pozwala na uzyskanie lub modyfikację informacji w niej zawartych.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości nieautoryzowanego dostępu do danych w bazie, co może prowadzić do ich ujawnienia lub zmiany. Atakujący może wykorzystać tę lukę do przeprowadzenia dalszych ataków na system.
Rekomendacja
Zaleca się aktualizację LuxCal Web Calendar do wersji 5.2.3M lub 5.2.3L, aby usunąć tę podatność. Dodatkowo warto przeprowadzić audyt bezpieczeństwa bazy danych w celu wykrycia potencjalnych zagrożeń.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in LuxCal Web Calendar prior to 5.2.3M (MySQL version) and LuxCal Web Calendar prior to 5.2.3L (SQLite version) allows a remote unauthenticated attacker to execute arbitrary queries against the database and obtain or alter the information in it.