Podatności Apache InLong

Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć wartość string do zapytania SQL, co umożliwia wykonanie nieautoryzowanych operacji na bazie danych. Problem dotyczy wersji od 2.0.0 do 2.4.0.

Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć dowolny kod SQL poprzez parametry dbName, tableName, schemaName oraz username. Problem dotyczy wersji od 2.0.0 do 2.4.0.

Podatność typu SQL Injection w Apache InLong. Umożliwia wstrzyknięcie SQL w klauzuli ORDER BY w bazie danych backendu Managera. Problem dotyczy wersji od 2.0.0 do 2.4.0.

W podatności CVE-2023-35088 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL w Apache InLong, co może prowadzić do ataków typu SQL Injection. Problem dotyczy wersji od 1.4.0 do 1.7.0.

Podatność na wstrzykiwanie argumentów w Apache InLong. Moduł ModuleManager instalatora agenta wykonuje dowolne polecenia powłoki przez ExcuteLinux.exeCmd() bez filtrowania ani walidacji listy dozwolonych. Problem dotyczy wersji od 2.0.0 do 2.4.0.

Podatność SSRF w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu uwierzytelnionemu użytkownikowi (bez roli administratora) na spowodowanie, że serwer InLong Manager wykona wychodzące żądania HTTP lub połączenia TCP do dowolnych wewnętrznych hostów i portów.

Podatność typu Relative Path Traversal w Apache InLong (od 2.0.0 przed 2.4.0) pozwala na dowolny odczyt plików z systemu plików hosta Agent.

Podatność w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu użytkownikowi, który może uwierzytelnić się w menedżerze, na tworzenie, modyfikowanie i usuwanie definicji węzłów danych.

Podatność w Apache InLong umożliwia dostęp do plików lub katalogów podmiotom zewnętrznym. Komponent StreamSource nie przeprowadza kontroli autoryzacji, przez co każdy uwierzytelniony użytkownik może logicznie usunąć wszystkie źródła strumieniowe. Problem dotyczy wersji od 2.0.0 do 2.4.0.

Podatność w Apache InLong dotyczy niekontrolowanego zużycia zasobów, co może pozwolić użytkownikom na wpływ na konfigurację operacyjną lub przesyłanie nieoficjalnych pakietów. Problem dotyczy wersji od 2.0.0 do przed 2.4.0.

Podatność w Apache InLong pozwala osobom niebędącym szablonami odpowiedzialnymi na przeglądanie informacji o szablonach. Problem dotyczy wersji od 2.0.0 do przed 2.4.0.

Podatność związana z deserializacją niezaufanych danych w Apache InLong umożliwia atakującemu ominięcie aktualnej logiki i uzyskanie dostępu do dowolnych plików. Dotyczy to wersji od 1.4.0 do 1.7.0.

W podatności 'Exposure of Resource to Wrong Sphere' w Apache InLong (od wersji 1.4.0 do 1.7.0) atakujący może wykorzystać ogólnych użytkowników do usuwania i aktualizacji procesów, które powinny być dostępne tylko dla administratorów.