CVE-2025-51683
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W mJobtime w wersji 15.7.2 wykryto podatność na ślepą iniekcję SQL (blind SQLi). Nieuwierzytelniony atakujący może wykonać dowolne zapytania SQL poprzez spreparowane żądanie POST do endpointu /Default.aspx/update_profile_Server.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć dane w bazie danych, co prowadzi do naruszenia poufności i integralności danych organizacji.
Rekomendacja
Należy natychmiast zaktualizować mJobtime do najnowszej wersji, która usuwa tę podatność, oraz zastosować parametryzację zapytań SQL w aplikacji.
Inne podatności w mJobtime
Zobacz wszystkie- CVE-2026-9209Krytyczne
mJobTime do wersji 15.7.3.32 zawiera nieuwierzytelnioną podatność na wykonanie SQL w panelu administracyjnym Login.aspx, gdzie przyciski runQueryButton i exportSqlQuery_Server wykonują SQL dostarczony przez wywołującego na bazie Sybase SQL Anywhere z uprawnieniami DBA/sysadmin, bez wymaganego uwierzytelnienia po stronie serwera. Atakujący może wysłać dowolne zapytania SQL, aby wywołać xp_cmdshell i xp_read_file, uzyskując zdalne wykonanie kodu przed uwierzytelnieniem jako LocalSystem.
- CVE-2025-51682Krytyczne
Podatność w mJobtime 15.7.2 polega na obsłudze autoryzacji po stronie klienta, co umożliwia atakującemu modyfikację kodu klienckiego i uzyskanie dostępu do funkcji administracyjnych. Dodatkowo atakujący może tworzyć żądania na podstawie kodu klienckiego, aby bezpośrednio wywoływać te funkcje.
Oryginalny opis (angielski, źródło NVD)
A blind SQL Injection (SQLi) vulnerability in mJobtime v15.7.2 allows unauthenticated attackers to execute arbitrary SQL statements via a crafted POST request to the /Default.aspx/update_profile_Server endpoint .
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS