CVE-2024-42327

Adatlap

CVE: CVE-2024-42327
EUVD: EUVD-2024-39873
GHSA: GHSA-gx59-7g62-6xhg
Eszköztípus: IT
Publikálva: 2024. 11. 27. 13:04
Frissítve: 2024. 12. 04. 05:55
Súlyosság: Kritikus
Prioritás: Fokozott
CWE: CWE-89

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
3.1	9,9	Kritikus	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H`

Hálózatról kihasználható · Alacsony komplexitás · Alacsony jogosultság szükséges · Nem szükséges felhasználói interakció

Eredeti leírás

A non-admin user account on the Zabbix frontend with the default User role, or with any other role that gives API access can exploit this vulnerability. An SQLi exists in the CUser class in the addRelatedObjects function, this function is being called from the CUser.get function which is available for every user who has API access.

Érintett termékek

Zabbix Zabbix Verziók: 6.0.0 – <= 6.0.31; 6.4.0 – <= 6.4.16; 7.0.0 – <= 7.0.1
zabbix zabbix Verziók: 6.0.0 – <= 6.0.31; 6.4.0 – <= 6.4.16; 7.0.0 – <= 7.0.1

Prioritás

Szint: Fokozott
Teendő: Azonnali intézkedés nem szükséges, de kövesse figyelemmel a sérülékenységet, mert a megítélése (például a kihasználtsága) változhat. Új információ hiányában a szoftvert a normál frissítési ütemezés szerint frissítse.