CVE-2023-7299
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W DataGear do wersji 4.60 znaleziono krytyczną podatność w pliku /dataSet/resolveSql. Manipulacja argumentem sql prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 4.7.0 rozwiązuje problem.
Ocena ryzyka
Atakujący może zdalnie manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia, a także do przejęcia kontroli nad bazą danych.
Rekomendacja
Zaktualizuj DataGear do wersji 4.7.0 lub nowszej, która zawiera poprawkę.
Inne podatności w DataGear
Zobacz wszystkie- CVE-2025-65792Krytyczne
DataGear w wersji 5.5.0 jest podatny na dowolne usuwanie plików. Atakujący może wykorzystać tę podatność do usunięcia dowolnych plików w systemie, co może prowadzić do utraty danych lub zakłócenia działania aplikacji.
- CVE-2026-19110Niskie
DataGear do wersji 5.0.0 ma podatność XSS w funkcji HtmlTplDashboardWidgetHtmlRenderer, gdzie argument Title jest niewłaściwie obsługiwany, co pozwala na zdalne wykonanie skryptów.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in DataGear up to 4.60. It has been declared as critical. This vulnerability affects unknown code of the file /dataSet/resolveSql. The manipulation of the argument sql leads to sql injection. The attack can be initiated remotely. Upgrading to version 4.7.0 is able to address this issue. It is recommended to upgrade the affected component.