CVE-2024-38882
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 (i prawdopodobnie nowszych) umożliwia zdalnemu atakującemu wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie SQL. Problem wynika z nieprawidłowego neutralizowania specjalnych elementów używanych w poleceniach systemowych.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na serwerze, co prowadzi do pełnej kompromitacji systemu, kradzieży danych lub przerwania działania usługi.
Rekomendacja
Należy natychmiast zaktualizować system Caterease do najnowszej dostępnej wersji, która zawiera poprawkę bezpieczeństwa. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do aplikacji tylko do zaufanych sieci i wdrożyć dodatkowe mechanizmy filtrowania zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
An issue in Horizon Business Services Inc. Caterease 16.0.1.1663 through 24.0.1.2405 and possibly later versions, allows a remote attacker to perform command line execution through SQL Injection due to improper neutralization of special elements used in an OS command.