CVE-2025-13294
KrytyczneCVSS 9.3Streszczenie
Nieuwierzytelniona podatność na wstrzyknięcie SQL istnieje w serwerze WWW TBEA TLogger V2.1.0.0B0.0.0.0. Wiele punktów końcowych HTTP włącza kontrolowane przez atakującego parametry bezpośrednio do zapytań SQLite bez wystarczającej walidacji lub parametryzacji. Zdalny nieuwierzytelniony atakujący może wykorzystać te punkty końcowe do odczytu, modyfikacji lub usunięcia danych przechowywanych w bazie danych CCU.db urządzenia.
Ocena ryzyka
Atakujący może manipulować danymi urządzenia, co prowadzi do naruszenia integralności danych, potencjalnej utraty danych lub nieautoryzowanego dostępu do informacji.
Rekomendacja
Zastosuj poprawki od producenta lub ogranicz dostęp sieciowy do urządzenia, aby zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated SQL injection vulnerability exists in the web server of TBEA TLogger V2.1.0.0B0.0.0.0. Multiple HTTP endpoints incorporate attacker-controlled parameters directly into SQLite queries without sufficient validation or parameterization. A remote unauthenticated attacker can exploit these endpoints to read, modify, or delete data stored in the device's CCU.db database.