Campaign Enterprise “SID” SQL befecskendezéses sérülékenység


2012. február 6. 13:50

CH azonosító

CH-6365

Angol cím

Campaign Enterprise "SID" SQL Injection Vulnerability

Felfedezés dátuma

2012.02.05.

Súlyosság

Alacsony

Érintett rendszerek

Arial Software
Campaign Enterprise

Érintett verziók

Campaign Enterprise 11.x

Összefoglaló

A Campaign Enterprise sérülékenysége vált ismertté, amelyet kihasználva rosszindulatú felhasználók SQL befecskendezéses (SQL injection) támadásokat indíthatnak.

Leírás

A Command-nak (amikor “ACTION” értéke “ADMINISTRATION” és “ALTCOMMAND” értéke “REFRESH”) a “SID” POST paraméterben átadott bemeneti adata nincs megfelelően megtisztítva, mielőtt SQL lekérdezésben felhasználásra kerülne. Ez kihasználható az SQL lekérdezések módosítására tetszőleges SQL kód befecskendezésével.

A sérülékenységet a 11.0.421 verzióban jelentették. Más kiadások is érintettek lehetnek.

Megoldás

Javítva a 11.0.512 verzióban.

Támadás típusa

Input manipulation (Bemenet módosítás)

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Egyéb referencia: packetstormsecurity.org
SECUNIA 47783

Legfrissebb sérülékenységek
CVE-2025-40551 – SolarWinds Web Help Desk Deserialization of Untrusted Data sérülékenység
CVE-2019-19006 – Sangoma FreePBX Improper Authentication sérülékenység
CVE-2025-64328 – Sangoma FreePBX OS Command Injection sérülékenység
CVE-2021-39935 – GitLab Community and Enterprise Editions Server-Side Request Forgery (SSRF) sérülékenység
CVE-2025-11953 – React Native Community CLI sérülékenysége
CVE-2026-1281 – Ivanti Endpoint Manager Mobile (EPMM) Code Injection sérülékenység
CVE-2026-24858 – Fortinet Multiple Products Authentication Bypass Using an Alternate Path or Channel sérülékenység
CVE-2026-1448 – D-Link sérülékenysége
CVE-2026-23745 – “node-tar” Library Path Traversal sérülékenység
CVE-2026-21509 – Microsoft Office Security Feature Bypass sérülékenység
Tovább a sérülékenységekhez »