Campaign Enterprise “SID” SQL befecskendezéses sérülékenység

2012. február 6. 13:50

CH azonosító

CH-6365

Angol cím

Campaign Enterprise "SID" SQL Injection Vulnerability

Felfedezés dátuma

2012.02.05.

Súlyosság

Alacsony

Érintett rendszerek

Arial Software
Campaign Enterprise

Érintett verziók

Campaign Enterprise 11.x

Összefoglaló

A Campaign Enterprise sérülékenysége vált ismertté, amelyet kihasználva rosszindulatú felhasználók SQL befecskendezéses (SQL injection) támadásokat indíthatnak.

Leírás

A Command-nak (amikor “ACTION” értéke “ADMINISTRATION” és “ALTCOMMAND” értéke “REFRESH”) a “SID” POST paraméterben átadott bemeneti adata nincs megfelelően megtisztítva, mielőtt SQL lekérdezésben felhasználásra kerülne. Ez kihasználható az SQL lekérdezések módosítására tetszőleges SQL kód befecskendezésével.

A sérülékenységet a 11.0.421 verzióban jelentették. Más kiadások is érintettek lehetnek.

Megoldás

Javítva a 11.0.512 verzióban.

Legfrissebb sérülékenységek

CVE-2024-41110 – Docker Engine AuthZ pluginok sérülékenysége

CVE-2024-20401 – Cisco Secure Email Gateway sérülékenysége

CVE-2024-20419 – Cisco Smart Software Manager On-Prem sérülékenysége

CVE-2024-21687 – Atlassian Bamboo Data Center és Server sérülékenysége

CVE-2024-6385 – GitLab CE/EE sérülékenysége

CVE-2024-22280 – VMware Aria Automation sérülékenysége

CVE-2024-5217 – ServiceNow hiányos feketelista sérülékenysége

CVE-2024-5178 – ServiceNow hiányos feketelista sérülékenysége

CVE-2024-4879 – Service Now Inpud Validation sérülékenysége

CVE-2024-6151 – Citrix Virtual Apps and Desktops sérülékenysége

Tovább a sérülékenységekhez »

Campaign Enterprise “SID” SQL befecskendezéses sérülékenység